Norwegian DPA fines Xandr EUR 8 600 000 for unlawful processing of personal data
Background information Date of final decision: 2 October 2026 National case Controller: Xandr Inc. Legal References: Article 6 (Lawfulness of processing), Article 9 (Processing of special categories of personal data) Decision: Administrative fine Key words: Fines, Basic principles, Marketing, Onlin…
- Data do item
- 2026-10-16
- Órgão responsável
- EDPB
- Tipo de ato
- Enforcement / sanção
- Estágio
- A classificar
- Prioridade
- Urgente — agir em dias
- Impacto
- Crítico
- Confiança da análise
- 0.80 — Interpretação fortemente suportada pela fonte oficial
- Território
- União Europeia
O que mudou (registro da fonte oficial)
Background information Date of final decision: 2 October 2026 National case Controller: Xandr Inc. Legal References: Article 6 (Lawfulness of processing), Article 9 (Processing of special categories of personal data) Decision: Administrative fine Key words: Fines, Basic principles, Marketing, Online platforms Summary of the Decision Origin of the case The case started in 2020 when the Norwegian Consumer Council lodged a complaint against the advertising technology company Xandr (at the time AppNexus, now a part of Microsoft) with the Norwegian DPA (Data Protection Authority). The case concerns
Órgão: EDPB · Data do item na fonte oficial: 2026-10-16
Norwegian DPA fines Xandr EUR 8 600 000 for unlawful processing of per ↗
Texto e data preservados do item do dataset; nenhum fato foi acrescentado.
Por que isso importa
Leitura: o item é classificado como Consumidor e transparência, EDPB e proteção de dados em IA, Enforcement e sanções, o que normalmente desloca obrigações de documentação, transparência ou controlo interno para as equipas responsáveis.
Possíveis obrigações
- Informar o consumidor sobre o uso de IA e sobre decisões automatizadas que o afetem. — base: Fonte menciona: consumidor e transparência, enforcement e sanções · confiança 0.80
- Evitar padrões enganosos e garantir transparência de recomendação e personalização. — base: Fonte menciona: consumidor e transparência, enforcement e sanções · confiança 0.80
- Verificação preventiva dos controlos equivalente aos que falharam na decisão publicada. — base: Fonte menciona: consumidor e transparência, enforcement e sanções · confiança 0.80
- Registo do risco e do plano de correção no sistema de compliance. — base: Fonte menciona: consumidor e transparência, enforcement e sanções · confiança 0.80
- Revisão contratual com fornecedores quando a decisão envolve terceiros. — base: Fonte menciona: consumidor e transparência, enforcement e sanções · confiança 0.80
- Base legal documentada para tratamento de dados pessoais em sistemas de IA. — base: Fonte menciona: consumidor e transparência, enforcement e sanções · confiança 0.80
Riscos
- Prática considerada enganosa gera multa, remoção de conteúdo e perda de confiança.
- Repetir o padrão sancionado na sua própria operação.
- Multas de percentagem do volume de negócios global em casos de maior gravidade.
- Medidas corretivas que obrigam a alterar produto já em produção.
- Perda de confiança de clientes e de investidores após incidente público.
- Treino ou fine-tuning sem base legal documentada.
Oportunidades
- Transparência demonstrável aumenta confiança do usuário e reduz churn.
- Utilizar as decisões publicadas como teste-padrão interno antes de uma auditoria.
- Demonstrar diligência documentada a clientes regulados e seguradoras.
- Redução de risco antes de escalar o produto para novos mercados.
- Uso de orientações do EDPB como argumento de confiança em vendas a clientes regulados.
Quem pode ser afetado
Exposição provável em: AdTech, Cloud, E-commerce, MarTech. Potencialmente afetada. A aplicabilidade depende das atividades exercidas e requer avaliação jurídica específica.
Setores
- AdTech — Termo do item oficial relacionado ao setor. (base explícita)
- Cloud — Tema «EDPB e proteção de dados em IA» afeta tipicamente este setor. (base temática)
- E-commerce — Tema «Consumidor e transparência» afeta tipicamente este setor. (base temática)
- MarTech — Tema «Consumidor e transparência» afeta tipicamente este setor. (base temática)
- Marketplaces — Tema «Consumidor e transparência» afeta tipicamente este setor. (base temática)
- Provedores de IA — Tema «EDPB e proteção de dados em IA» afeta tipicamente este setor. (base temática)
- SaaS — Tema «Consumidor e transparência» afeta tipicamente este setor. (base temática)
- Saúde — Tema «EDPB e proteção de dados em IA» afeta tipicamente este setor. (base temática)
Tipos de empresa: Plataforma digital / marketplace, Grande empresa, PME (pequena e média empresa), Startup / empresa em formação, Provedor de cloud, infraestrutura ou capacidade computacional, Operador (deployer) de sistema de IA, Serviços profissionais (jurídico, consultoria, auditoria), Provedor de sistema de IA
Áreas internas: Product, Marketing, Jurídico, Compliance, Data Governance, Data Protection Officer, Privacy, Risk
Classificação por palavras-chave e tema. Não estabelece que qualquer organização específica esteja juridicamente enquadrada no ato.
O que fazer
- Revisar transparência, rotulagem e padrões de interface dos produtos com IA. — responsável sugerido: Product · prioridade Alta
- Atualizar a matriz de risco com o padrão sancionado nesta decisão. — responsável sugerido: Compliance · prioridade Alta
- Testar o controlo correspondente no seu próprio processo e registar o resultado. — responsável sugerido: Compliance · prioridade Alta
- Levar o caso concreto à reunião de compliance com responsável nomeado. — responsável sugerido: Compliance · prioridade Alta
- Mapear as bases legais de cada caso de uso de IA que trata dados pessoais. — responsável sugerido: Data Protection Officer · prioridade Alta
- Atualizar a DPIA para os casos de uso afetados pela orientação mais recente. — responsável sugerido: Data Protection Officer · prioridade Alta
SLA sugerido: agir em dias · Áreas responsáveis: product, marketing, legal, compliance, data-governance, dpo, privacy, risk
O que isso significa na prática?
Consequência empresarial
Na prática, isto altera expectativas sobre como a organização documenta, avalia e supervisiona o uso de IA em AdTech, Cloud, E-commerce.
Áreas internas envolvidas
Product, Marketing, Jurídico, Compliance, Data Governance, Data Protection Officer, Privacy, Risk
Possíveis custos
Custo de adequação não quantificado pelo monitor: depende do número de sistemas afetados, da obrigação aplicável e do desenho do controlo.
Necessidade de adequação
Provável necessidade de adequação em documentação, contratos ou controlos internos quando a obrigação se confirmar aplicável.
Risco de não agir
Prática considerada enganosa gera multa, remoção de conteúdo e perda de confiança.
Próximo passo
Revisar transparência, rotulagem e padrões de interface dos produtos com IA.
Prazos ligados a este evento
| Data | Marco | Prazo restante | No tracker |
|---|---|---|---|
| 2026-10-02 | Data referida no texto oficial | cumprido | referência |
Abrir o Deadline Tracker completo →
Evidência utilizada
Potencialmente afetada. A aplicabilidade depende das atividades exercidas e requer avaliação jurídica específica.