Los corresponsables del tratamiento según el GDPR no pueden externalizar el consentimiento

El consentimiento que no recogiste sigue siendo una responsabilidad tuya. Ese es el mensaje práctico de la multa de 8,6 millones de euros que la autoridad noruega de protección de datos acaba de imponer a Xandr, la empresa de tecnología publicitaria ahora parte de Microsoft, y debería cambiar la forma en que cada responsable de protección de datos interpreta la frase «nuestro socio gestiona el consentimiento».

Los hechos son concretos. La Datatilsynet de Noruega firmó su decisión final el 2 de octubre de 2026, anunció la multa en Noruega el 12 de octubre y el Comité Europeo de Protección de Datos republicó la decisión en su página nacional de noticias el 16 de octubre. El caso comenzó con una denuncia en 2020 del Consejo de Consumidores de Noruega sobre pujas en tiempo real que involucraban a usuarios de Grindr, una app de citas para personas gays, bisexuales, trans y queer. Xandr nunca pidió el consentimiento a esos usuarios. Se basó en el consentimiento que Grindr decía haber recogido, y la autoridad consideró ese consentimiento inválido.

La tecnología publicitaria es el contexto, pero el principio va más allá. Cualquier organización que reciba datos personales de un socio, los pase a un socio, o los comparta por correo electrónico, uso compartido de archivos, APIs o agentes de IA se encuentra en la misma situación que Xandr en el momento en que un regulador pregunta quién verificó qué. Este artículo explica lo que decidió la autoridad, por qué el razonamiento es relevante para un CISO o responsable de cumplimiento, y dónde un intercambio gobernado como Kiteworks secure data exchange puede ayudarte a hacer cumplir y demostrar tus propias decisiones, y dónde no puede hacerlo.

Conclusiones clave

1. El consentimiento upstream no es una defensa.

La autoridad sostuvo que cada corresponsable debe verificar que el consentimiento es válido y cubre su propio tratamiento, así que la garantía de un socio no transfiere la responsabilidad.

2. Una cláusula contractual no elimina la corresponsabilidad.

Xandr prohibía a sus socios compartir datos de categorías especiales, pero la autoridad igualmente consideró que determinaba junto con ellos qué categorías de datos se compartían.

3. Usar una app puede revelar datos de categoría especial.

La autoridad consideró que el hecho de que una persona usara Grindr, junto con un ID publicitario y una dirección IP, constituía datos relativos a la orientación sexual según el artículo 9(1).

4. La negligencia no requiere mala intención.

La autoridad consideró las infracciones al menos negligentes y de gravedad alta porque afectaban disposiciones centrales del GDPR y datos sensibles.

5. La evidencia es la defensa.

Los líderes de cumplimiento que pueden demostrar qué datos salieron, a quién, bajo qué norma y quién lo aprobó están en una posición mucho más sólida que quienes solo cuentan con garantías contractuales.

Qué decidió la DPA noruega

La autoridad multó a Xandr Inc. con 92.000.000 NOK, que el EDPB cifra en 8.600.000 euros, por tratar datos de usuarios de Grindr sin una base legal según el artículo 6(1) del GDPR y en infracción del artículo 9(1), ya que no se aplicaba ninguna exención válida. Los datos en cuestión eran el hecho de que una persona usaba Grindr, su ID publicitario y su dirección IP. Según la versión pública editada de la decisión publicada por el Consejo de Consumidores de Noruega, la autoridad también consideró los identificadores de la app como parte de ese conjunto de datos.

Dos partes del razonamiento merecen una lectura detenida. Primero, la autoridad consideró que el simple hecho de usar Grindr revela la orientación sexual. Nadie tuvo que declarar su orientación en un campo de un formulario. La inferencia por contexto fue suficiente para que los datos quedaran bajo la prohibición de categoría especial. Segundo, la autoridad concluyó que la exención relevante era el consentimiento explícito, y que no existía un consentimiento explícito válido para el tratamiento por parte de Xandr.

La autoridad calificó las infracciones como al menos negligentes y de gravedad alta. Ninguna de esas etiquetas requiere probar que alguien quiso infringir la ley. La negligencia en este contexto significa que una organización no actuó con el cuidado que se espera de un responsable en su posición. Ese estándar es mucho más fácil de cumplir para un regulador que el de la intención, y es el estándar con el que se evaluará tu propio expediente.

Un apunte sobre las fechas te ahorrará confusiones cuando colegas citen la noticia. La decisión está fechada el 2 de octubre de 2026. La prensa en Noruega y Europa la difundió a partir del 12 de octubre. La página del EDPB que muchos encontrarán primero lleva fecha de publicación del 16 de octubre. Las tres fechas se refieren a la misma decisión.

Por qué falló la confianza en el consentimiento de Grindr

Xandr no recogió el consentimiento de los usuarios directamente. Se basó en el consentimiento que Grindr recogió a través de su anterior plataforma de gestión de consentimientos, según el texto de la decisión. La autoridad sostuvo que esos consentimientos no cumplían el estándar del GDPR, que según los artículos 4(11) y 7 debe ser otorgado libremente, específico, informado, inequívoco y tan fácil de retirar como de dar. Si el consentimiento upstream no supera esa prueba, todo lo que se construye sobre él también falla.

La lección estructural está un nivel por encima de la mecánica del consentimiento. Xandr tenía un argumento comercial plausible. Grindr era quien tenía la relación con el usuario, gestionaba el flujo de consentimiento y Xandr recibía una señal de que el consentimiento existía. La autoridad rechazó el argumento igualmente, en una frase que todo equipo de cumplimiento debería escribir en la pizarra. La responsabilidad no se puede externalizar.

El texto del artículo 7 explica por qué. Coloca la carga de la prueba en el responsable, quien debe poder demostrar que el interesado consintió. Una señal de un socio de que existe consentimiento no es una demostración. Una demostración es un registro que puedes abrir, mostrando a qué accedió la persona, cuándo, para qué fines y que el acuerdo cubre tu propio tratamiento.

Desde la perspectiva de un CISO, esto es más un problema de trazabilidad de datos que legal. La cuestión es si puedes rastrear un registro desde el momento en que entró en tu entorno hasta el destinatario que lo tiene ahora, y adjuntar la base legal en la que te apoyaste en cada paso. Las organizaciones que pueden responder a esa pregunta rápidamente son pocas. Las que pueden hacerlo para datos que se mueven por correo electrónico y uso compartido de archivos, fuera de cualquier aplicación, son aún menos.

Cómo una cláusula contractual no contuvo la corresponsabilidad

La autoridad determinó que Xandr era corresponsable junto con Grindr, actuando como plataforma del lado de la oferta y del lado de la demanda en la subasta. El razonamiento giró en torno a lo que la decisión describe como decisiones convergentes sobre los fines y medios del tratamiento. El propio marco contractual y la plataforma de Xandr definían qué datos y qué destinatarios estaban involucrados.

Los contratos de Xandr prohibían a los socios compartir datos de categorías especiales. Esa cláusula no cambió el resultado. La autoridad rechazó la cláusula como salvaguarda suficiente y concluyó que Xandr era corresponsable junto con Grindr. Una prohibición en el papel no sirve si el sistema que construiste transporta los datos igualmente.

La redacción del artículo 26 apunta en la misma dirección. Los corresponsables deben asignar de forma transparente sus respectivas responsabilidades, y el interesado puede ejercer sus derechos ante cualquiera de ellos. La decisión cita el artículo 26(1) y afirma que un acuerdo entre corresponsables no elimina las obligaciones de ninguna de las partes.

Para un responsable de cumplimiento, esta es la parte de la resolución que debería motivar un inventario. Todo acuerdo de intercambio de datos que implique una plataforma compartida, una consola compartida, un conjunto de estándares compartidos o un canal compartido conlleva riesgo de corresponsabilidad, independientemente del papel. Un acuerdo de corresponsabilidad describe la realidad. No puede crear una realidad distinta.

El patrón más allá de la tecnología publicitaria

Sería cómodo archivar esta decisión como un tema de publicidad y seguir adelante. Las cifras de aplicación demuestran lo contrario. El informe de multas y brechas de datos GDPR de DLA Piper indica que las multas acumuladas desde la entrada en vigor del reglamento el 25 de mayo de 2018 hasta el 10 de enero de 2026 ascienden a 7.100 millones de euros, con autoridades europeas imponiendo alrededor de 1.200 millones de euros en multas solo en 2025.

Esa magnitud de aplicación no proviene de un solo sector. Proviene de autoridades que han aprendido a hacer la misma serie de preguntas a cada responsable, y la decisión de Xandr muestra cómo es una de esas preguntas cuando se aplica a una cadena de suministro de datos. ¿Quién te dio estos datos, en base a qué, y cómo lo sabes?

El volumen de incidentes que alimentan el proceso también está aumentando. El análisis de febrero de 2026 de DLA Piper encontró que las autoridades europeas recibieron un promedio de 443 notificaciones de brechas por día, un aumento anual del 22 por ciento. Cada notificación es un momento en el que un regulador puede pedir a un responsable que explique a dónde fueron sus datos y quién más los tuvo.

Nada de esto es exclusivo de organizaciones que comercian con datos personales. Un hospital que comparte referencias con una clínica asociada, un banco que envía archivos de clientes a un proveedor de servicios, y una empresa que pasa datos de empleados a una gestoría de nóminas, todos envían datos personales a otra parte. Se diferencian de Xandr en escala e intención, pero comparten su exposición ante un regulador que pregunta si la base del destinatario cubre el uso que se da a los datos. El canal no cambia la pregunta. El correo electrónico, el uso compartido de archivos, las APIs y los agentes de IA mueven datos personales entre personas, máquinas y sistemas, y cada movimiento es un punto donde la responsabilidad se sostiene o no.

Lo que los reguladores esperan ahora que demuestres

La exposición no es trivial. El artículo 83(5) del GDPR sitúa las infracciones de los artículos 5, 6, 7 y 9 en el nivel más alto de sanción, con un máximo de 20 millones de euros o, para una empresa, hasta el 4% de la facturación mundial anual del ejercicio anterior, lo que sea mayor. Esos son los artículos en el centro de la decisión de Xandr.

Los techos de las multas llaman la atención, pero la señal más útil para un responsable de cumplimiento es lo que la autoridad esperaba que el responsable hubiera hecho. Verificar el consentimiento para su propio tratamiento. Confirmar que el consentimiento cubría el uso específico. Conservar el registro. Son tres actividades, y ninguna es una compra de tecnología. Son prácticas de evidencia.

La brecha de evidencia es visible en los datos de encuestas. En el Informe Anual 2026 de Seguridad de Datos y Riesgo de Cumplimiento de Kiteworks, el 63% de los 459 profesionales de seguridad, cumplimiento y tecnología encuestados reportaron una consecuencia de cumplimiento en los 12 meses previos, definida como un hallazgo de auditoría, un plan de remediación requerido, una escalada al consejo, una penalización contractual o una investigación regulatoria formal. Las cifras son autodeclaradas, y la mitad de la muestra estaba en la UE y Reino Unido, así que interpreta el número como una tendencia, no como un censo.

La presión sobre la soberanía de los datos también está aumentando. Una encuesta de BARC sobre soberanía de datos 2026 a 320 empresas, realizada en febrero y marzo de 2026, encontró que el 51% ahora considera la soberanía de datos como muy importante, frente al 42% en 2025, mientras que solo el 10% tiene un presupuesto dedicado para ello. Una brecha entre la importancia de un control y su financiación es justo donde una acción de cumplimiento encuentra sus hechos.

Junta esas piezas y el problema para el responsable de cumplimiento se aclara. El regulador no preguntará si tienes una política. El regulador pedirá la evidencia de que la política se aplicó en una transferencia concreta, en un día concreto, para un destinatario concreto.

Dónde encaja el intercambio de datos gobernado

Empieza por lo que no hace un intercambio gobernado. No decide si un consentimiento es válido, ni sustituye el juicio legal de tu responsable de protección de datos o tu asesor. Una plataforma de gestión de consentimientos gobierna la recogida. Un equipo legal decide si existe una base. Lo que se sitúa entre esos dos y el destinatario es el propio intercambio, el momento en que los datos personales salen de tu control por correo electrónico, uso compartido de archivos, API o un agente de IA. Ahí es donde opera Kiteworks secure data exchange.

En ese punto, la plataforma te permite convertir tus propias decisiones en reglas obligatorias. Las políticas de datos, que Kiteworks implementa como controles de acceso basados en atributos, evalúan tres cosas a la vez: atributos de los datos, como la ruta de la carpeta o la etiqueta; atributos del remitente y el destinatario, como el dominio o el perfil; y la acción que se intenta realizar. El motor de políticas de datos puede entonces permitir la acción, bloquearla o retenerla para aprobación de un responsable antes de que se complete el envío o el uso compartido.

La clasificación respalda esa aplicación. Las políticas pueden aplicar una etiqueta cuando los datos se suben o adjuntan, por ejemplo una etiqueta para datos de salud u otra categoría especial, y políticas posteriores pueden usar la etiqueta como condición. La clasificación de datos realizada en el punto de entrada significa que la decisión sobre datos del artículo 9 se toma una vez y luego se aplica cada vez que los datos se mueven.

La plataforma también puede capturar el razonamiento. Una política puede requerir un formulario al subir o descargar, para que la persona registre una clasificación o una justificación, y ese registro se almacena en el registro de auditoría junto con el evento. Para un equipo que debe demostrar por qué se realizó una transferencia, una justificación registrada y adjunta a la transacción es más sólida que una reconstrucción meses después. Los formularios web GDPR extienden la misma idea a los datos recogidos directamente de los interesados.

La evidencia es la otra mitad. Kiteworks rastrea la actividad de usuarios, datos y sistemas en un solo registro de auditoría en vez de fragmentarla en subsistemas, y no limita el volumen de registros durante picos de tráfico. Las entradas alimentan herramientas SIEM externas en tiempo real mediante syslog o Splunk Universal Forwarder. Un responsable de cumplimiento que necesita demostrar quién envió qué a quién, cuándo y dónde puede leerlo en un solo registro.

Para organizaciones que deben mantener los datos dentro de una jurisdicción, los controles de cumplimiento de soberanía de datos permiten a un administrador asignar usuarios a un país en una implementación distribuida, de modo que sus datos solo se almacenen y enruten por esa ubicación, y los informes integrados muestran a los auditores dónde están. Cuando una organización licencia Kiteworks Advanced Governance, el Informe de Cumplimiento GDPR añade un resumen de la configuración de políticas, configuración y operaciones monitorizadas. Ninguna de estas funciones certifica el cumplimiento. Te dan material para demostrar el tuyo propio.

Lista de verificación para DPOs y CISOs

La decisión invita a una revisión práctica, y la revisión no necesita una nueva herramienta para empezar. Solo hace falta reservar tiempo y responder con honestidad.

1. Haz una lista de cada flujo saliente de datos personales. Incluye correo electrónico, uso compartido de archivos, conexiones API y cualquier agente de IA que pueda enviar o recibir datos. Nombra al destinatario y la base declarada para cada flujo, porque un flujo sin destinatario identificado no tiene una base defendible.
2. Compara el consentimiento upstream con tu uso real. Para cada caso en que un socio recogió el consentimiento en tu nombre, anota qué se le dijo a la persona, a qué accedió y si tu tratamiento se ajusta a ello. Si no puedes escribirlo, has encontrado una brecha.
3. Clasifica los datos de categoría especial al entrar. Salud, orientación sexual y otros datos del artículo 9 deben llevar una etiqueta desde que llegan, para que la política pueda actuar sin depender de la memoria humana.
4. Restringe las transferencias por destinatario y tipo de datos. Escribe políticas que permitan, bloqueen o retengan para aprobación, y pruébalas en casos incómodos como un destinatario con dominio de correo gratuito o en un país donde no operas.
5. Registra la justificación en el momento de la transferencia. Un formulario breve completado cuando los datos se mueven es más fácil de defender que una reconstrucción tras recibir una carta del regulador.
6. Ensaya la solicitud de evidencia. Elige una transferencia real y pide a tu equipo que produzca su registro completo en dos días laborables. El tiempo que tarda es tu preparación real.

Este artículo es información general, no asesoría legal. La orientación vinculante sobre cómo aplica la decisión a tu tratamiento debe venir de tu equipo legal o tu responsable de protección de datos.

Para saber más sobre cómo hacer cumplir y evidenciar tus propias decisiones de consentimiento e intercambio de datos por correo electrónico, uso compartido de archivos, APIs y agentes de IA, solicita una demo personalizada hoy.

Recursos adicionales

• Artículo del Blog La batalla por tus datos: cómo las leyes CLOUD y SHIELD enfrentan seguridad y privacidad
• Artículo del Blog Protege datos sensibles mapeando DSPM a tus objetivos de cumplimiento
• Resumen Las 3 principales infracciones FERPA y cómo evitarlas
• Artículo del Blog Orden Ejecutiva 14117: Protegiendo los datos personales sensibles de los estadounidenses
• Artículo del Blog ¿Necesitas cumplimiento NIS2? Empieza con ISO 27001