La tutela dei dati personali torna al centro del dibattito europeo. L’Autorità norvegese per la protezione dei dati (Datatilsynet) ha inflitto una sanzione di 92 milioni di corone norvegesi, pari a circa 8,6 milioni di euro, a Xandr, società di advertising oggi parte del gruppo Microsoft, per aver trattato e condiviso dati personali sensibili in violazione del Regolamento generale sulla protezione dei dati (GDPR). Si tratta della multa più alta mai emessa nella storia dell’autorità norvegese per la tutela della privacy.
La decisione arriva al termine di una lunga vicenda iniziata nel 2020 grazie alle indagini del Consiglio dei Consumatori norvegese (Forbrukerrådet), membro del BEUC, l’Organizzazione europea dei consumatori di cui Adiconsum fa parte. Le indagini avevano messo in luce i meccanismi opachi dell’ecosistema pubblicitario online e il modo in cui enormi quantità di dati personali vengono raccolte, condivise e sfruttate per finalità commerciali, senza che gli utenti ne siano realmente consapevoli.
Il caso Grindr e la condivisione dei dati sensibili
Al centro della vicenda vi è l’app di incontri Grindr basata sulla geolocalizzazione e rivolta a persone gay, bisessuali, transgender e queer. Secondo quanto accertato dall’autorità norvegese, i dati degli utenti dell’app, compresi elementi dai quali era possibile desumere l’orientamento sessuale, venivano trasmessi attraverso la piattaforma pubblicitaria Xandr a potenzialmente migliaia di soggetti operanti nel mercato della pubblicità digitale.
Il rapporto “Out of Control“, pubblicato dal Forbrukerrådet nel 2020, aveva documentato come il sistema della pubblicità comportamentale consentisse la diffusione di informazioni personali a un numero enorme di intermediari pubblicitari, rendendo praticamente impossibile per gli utenti sapere chi stesse trattando i loro dati e per quali finalità.
La Datatilsynet ha stabilito che Xandr non poteva limitarsi a presumere che Grindr avesse ottenuto un consenso valido dagli utenti. Chi riceve e utilizza dati personali per finalità pubblicitarie ha infatti l’obbligo di verificare che tali dati siano stati raccolti nel rispetto della normativa. La responsabilità, ha sottolineato l’autorità, non può essere trasferita ad altri operatori della filiera.
Perché questa decisione riguarda tutti i consumatori
Il caso mostra in modo emblematico come funziona il cosiddetto sistema di “real-time bidding”, l’asta pubblicitaria in tempo reale che alimenta gran parte della pubblicità online. Ogni volta che una persona apre un’app o visita un sito, informazioni sul suo profilo possono essere condivise con una moltitudine di aziende affinché queste competano per mostrare un annuncio personalizzato. Tutto ciò avviene in pochi millisecondi e spesso in modo invisibile all’utente.
Secondo le organizzazioni dei consumatori, questo modello economico permette la creazione di veri e propri “gemelli digitali” degli utenti, costruiti attraverso la raccolta continua di dati relativi a preferenze, abitudini di consumo, stato di salute, opinioni politiche e orientamento sessuale.
La sanzione a Xandr rappresenta quindi un importante precedente: le aziende che basano la propria attività sullo sfruttamento dei dati personali non possono sottrarsi alle proprie responsabilità sostenendo di fare affidamento sulle dichiarazioni di altri soggetti.
Un messaggio anche per il futuro delle regole europee
La decisione arriva in un momento particolarmente delicato per la politica europea. Nel dibattito sul cosiddetto “Digital Omnibus“, alcune proposte mirano a semplificare gli obblighi normativi per le imprese, incidendo anche su aspetti della disciplina relativa alla protezione dei dati personali.
Il BEUC mette in guardia dai rischi di un indebolimento delle garanzie esistenti. In un recente studio, l’organizzazione sottolinea che una forte tutela della privacy non è un ostacolo alla competitività ma rappresenta un valore economico e un fattore di fiducia per consumatori e imprese. Tra le raccomandazioni figurano il mantenimento del consenso come base giuridica principale per il trattamento dei dati personali e il rafforzamento dei diritti degli utenti in materia di accesso, rettifica, portabilità e cancellazione dei dati.
Una vittoria per i consumatori europei
La multa inflitta a Xandr dimostra quanto siano essenziali non solo regole solide sulla protezione dei dati, ma anche autorità capaci di farle rispettare efficacemente. Il caso evidenzia i limiti di trasparenza dell’attuale ecosistema pubblicitario digitale e rafforza il principio secondo cui il consenso degli utenti deve essere reale, informato e verificabile.
Un tema che si inserisce nel più ampio dibattito sulla protezione dei dati personali nell’ecosistema digitale riguarda anche le nuove Linee guida del Garante italiano per la protezione dei dati personali sull’utilizzo dei tracking pixel nelle comunicazioni di posta elettronica, adottate il 17 aprile 2026. Entro il 29 ottobre 2026, aziende, piattaforme e altri soggetti interessati dovranno adeguarsi alle indicazioni dell’Autorità in materia di trasparenza, informativa agli utenti, acquisizione e revoca del consenso, nonché protezione dei dati fin dalla progettazione. Sebbene riguardino una tecnologia diversa da quella al centro del caso Xandr, le Linee guida richiamano un’esigenza comune: garantire che la raccolta e l’utilizzo dei dati personali attraverso strumenti digitali avvengano nel rispetto della normativa e senza che l’interessato sia privato di un’informazione adeguata e di un effettivo controllo sui propri dati.
Per i consumatori europei si tratta di un importante passo avanti verso un ambiente digitale più trasparente e rispettoso dei diritti fondamentali, nel quale il controllo sui propri dati personali non resti soltanto un principio sulla carta, ma diventi una garanzia concreta.
