1. La noticia (en claro)
No es que Grindr «vendiera tu chat». Es peor y más invisible. Cada vez que alguien abría la app, un intermediario publicitario llamado Xandr participaba en una subasta en milisegundos (real-time bidding): anunciantes pujaban por mostrarte un anuncio. En esa puja viajaban, como mínimo, el hecho de que usabas Grindr, tu identificador de publicidad y tu IP. Usar Grindr, para el regulador, es un dato de orientación sexual. Eso es categoría especial del RGPD. Hace falta un consentimiento explícito y válido. No lo había.
Xandr dijo, en esencia: «eso era cosa de Grindr, ellos pidieron el permiso». Datatilsynet no cuela el truco. Concluye que Xandr era corresponsable (junto con Grindr) y que no puede subcontratar el RGPD: cada uno tiene que comprobar que el consentimiento cubre su tratamiento. El de Grindr, según la decisión, no valía.
«Ningún usuario de Grindr sabría ni que Xandr existe, ni cómo usaba sus datos.» — Finn Myrstad, Consejo de Consumidores de Noruega
Microsoft compró Xandr en junio de 2022. Los hechos sancionados son anteriores (el regulador sitúa el tratamiento ilícito, al menos, entre 2018 y 2020). Un portavoz de Microsoft ha dicho que revisan la decisión y que el caso es de antes de la compra. Eso no borra el precedente: el intermediario también responde.
No es solo Grindr. En 2020 hubo denuncias paralelas contra otros de la cadena publicitaria (MoPub, OpenX, AdColony, Smaato…). El informe «Out of control» describía el mismo patrón en apps cotidianas: el dato sale del teléfono hacia un mercado que el usuario no ve.
2. En qué te afecta
Si no usas Grindr y no vives en Noruega, la multa no te llega a casa. El sistema sí. Casi cualquier app gratuita con anuncios puede meterse en esa subasta: un ID que te sigue entre apps, una IP, el nombre de la app (citas, salud, deudas, religión). Con eso se construye un «gemelo digital» y se puja. Tú ves un anuncio. Ellos se quedan el perfil.
Mientras tanto, en Bruselas. noyb y BEUC advierten: el Digital Omnibus podría aflojar qué cuenta como «dato personal» (por ejemplo, ciertos IDs de rastreo). Si eso pasa, casos como este se vuelven más difíciles de sancionar. La multa de hoy y el lobby de mañana son la misma guerra.
💬 Cómo lo veo yo
La gente se enfada con Grindr. Es más cómodo. El truco está en Xandr: empresas sin icono en tu pantalla, con nombre de consultora, que viven de que abras la app. No las elegiste. No las ves. Y el RGPD dice que igual responden.
No vas a desinstalar internet. Sí puedes cortar permisos, resetear el ID de anuncios y dejar de alimentar la subasta con ubicación «siempre».
3. Qué puedes hacer (hoy)
Plan de 15 minutos
- iPhone — corta el rastreo entre apps. Ajustes → Privacidad y seguridad → Seguimiento: desactiva «Permitir que las apps te pidan rastrear» o niega una a una. En cada app de citas o salud: ubicación solo al usarla, nunca «siempre». Orden y prioridades: permisos de apps. Detalle iOS: privacidad en iPhone.
- Android — resetea (o borra) el ID de publicidad. Busca Anuncios o Privacidad → Anuncios (a veces dentro de la cuenta Google). Pulsa restablecer identificador o eliminarlo. Luego: Administrador de permisos y recorta ubicación / micrófono. Orden y prioridades: permisos de apps. Detalle Android: privacidad en Android.
- Apps de citas, salud, banca. Si no las abres, desinstálalas. Si las usas: el mínimo de permisos y, si existe, versión de pago sin anuncios. El anuncio gratuito es el producto; tú eres el inventario.
- Menos subasta en el navegador. uBlock Origin (escritorio) o un DNS que filtre trackers. Comparativa de bloqueadores · NextDNS.
- Mapa general. Permisos de apps en 15 minutos · auditoría · Empieza aquí.
«El consentimiento no se puede subcontratar. Si tu dato entra en la subasta, quien puja también responde.»
Si quieres ir un paso más allá
Fuentes. noyb — Privacy win: Norwegian Authority fines Microsoft’s Xandr € 8.5 Million (12 octubre 2026). Forbrukerrådet (Consejo de Consumidores noruego). Datatilsynet: 92 millones NOK, la más alta del organismo; Xandr, corresponsable con Grindr.
Resumen: una app de citas no es solo la app de citas. Hay un mercado detrás que trata el hecho de usarla como dato íntimo y lo reparte a velocidad de anuncio. Noruega ha puesto cifra. Tú no cobras la multa. Sí puedes dejar de regalar ubicación, ID de anuncios y permisos de más.
La guía de permisos está lista: 15 minutos, iPhone y Android, sin sermón de 80 pantallas.
¿Qué permisos tiene tu móvil ahora mismo?
Ubicación «siempre», micrófono de más, fotos completas. Quince minutos. El resto es inventario para la subasta.
Ver la guía de permisos →Preguntas frecuentes
¿Microsoft me está espiando por esto?
Esta sanción es a Xandr por hechos anteriores a la compra (2022). No implica un malware nuevo. Sí implica que un pedazo de Microsoft Advertising viene de un negocio de subasta de datos. El precedente vale para toda la cadena, no solo para el logo de Grindr.
¿Me afecta si no uso Grindr?
La multa, no. El mecanismo (ID de publicidad + app + IP en una subasta), sí, en cualquier app con anuncios personalizados. Citas, salud y finanzas son el caso grosero porque el nombre de la app ya es dato sensible.
¿Borrar el ID de anuncios me hace invisible?
No. Rompe un identificador persistente; las apps pueden seguir usando otros señales (huella del dispositivo, cuentas de login). Es un corte barato, no un traje de invisibilidad. Combínalo con permisos y un bloqueador. Más: huella digital.
¿Puedo denunciar en España?
Si una app comparte datos sin consentimiento válido, puedes acudir a la AEPD. Este expediente concreto lo ha cerrado Noruega sobre usuarios allí. El RGPD es el mismo marco; la investigación, no.
¿Qué hago en 5 minutos?
iPhone: Seguimiento → no. Android: restablecer ID de anuncios. En la app de citas o salud: ubicación solo al usar. El orden completo: permisos de apps.