Multa RTB da 8,6 milioni: cosa cambia per le tue campagne programmatic

Il 2 ottobre 2026, l’autorità norvegese per la privacy ha multato Xandr — società di Microsoft — per 8,6 milioni di euro. Il motivo: aver usato dati sensibili degli utenti nelle aste pubblicitarie automatiche senza un consenso valido. Se la tua azienda fa campagne programmatic, questo caso ti riguarda direttamente.

Questo caso mi riguarda davvero, o è solo un problema dei grandi player tech?

Riguarda chiunque faccia campagne programmatic, anche le PMI italiane. Il principio stabilito è chiaro: ogni soggetto nella filiera pubblicitaria risponde in modo autonomo della validità del consenso.

Il real-time bidding (RTB) — cioè il sistema di aste automatiche che decide in millisecondi quale annuncio mostrare a quale utente — coinvolge decine di aziende per ogni singola impression pubblicitaria. Xandr era una di queste, nel ruolo di piattaforma che connette chi vende spazi pubblicitari e chi li compra.

Il problema non era che Xandr avesse raccolto i dati direttamente. Li riceveva da Grindr durante le aste. Ma l’autorità norvegese ha stabilito che affidarsi al consenso di un altro soggetto non basta: ogni partecipante alla filiera deve verificare autonomamente che il consenso sia valido.

Per un’azienda italiana che usa Google Ads, Meta o qualsiasi piattaforma programmatic, questo significa che anche tu sei parte di quella filiera. Non sei solo un cliente della piattaforma: sei un soggetto che partecipa al trattamento dei dati.

Cosa è successo esattamente con Xandr e Grindr?

Xandr riceveva dati degli utenti di Grindr — un’app per persone LGBTQ+ — durante le aste pubblicitarie automatiche. Quei dati rivelavano l’orientamento sessuale degli utenti, una categoria protetta dal GDPR che richiede consenso esplicito.

Il caso nasce nel 2020 da una denuncia del Norwegian Consumer Council. L’indagine ha accertato che Xandr riceveva, durante le aste RTB, almeno tre tipi di dati: l’ID pubblicitario del dispositivo, l’indirizzo IP e il fatto stesso che l’utente stesse usando Grindr. Quest’ultimo elemento è sufficiente per rivelare l’orientamento sessuale, che è una categoria speciale di dati ai sensi dell’articolo 9 del GDPR — il regolamento europeo sulla protezione dei dati personali.

Per trattare queste categorie serve il consenso esplicito dell’utente. Xandr non lo aveva raccolto direttamente: si fidava del consenso gestito da Grindr. L’autorità norvegese ha stabilito che quel consenso era invalido, e che Xandr avrebbe dovuto verificarlo in modo autonomo.

La decisione dell’EDPB — il Comitato europeo per la protezione dei dati — fissa un principio che vale per tutta la filiera: la responsabilità non si delega.

Cosa significa "dati sensibili" in una campagna pubblicitaria?

Il GDPR protegge alcune categorie di dati con regole più severe: salute, orientamento sessuale, religione, etnia, opinioni politiche. Nel contesto pubblicitario, anche un’inferenza — cioè una deduzione automatica — su queste categorie è sufficiente a far scattare gli obblighi.

Molte aziende pensano di non trattare dati sensibili perché non li raccolgono esplicitamente. Ma le piattaforme programmatic costruiscono profili comportamentali molto dettagliati. Se un utente visita spesso siti di salute mentale, il sistema può inferire una condizione medica. Se naviga su contenuti religiosi, il sistema lo sa.

Il punto critico è questo: quando carichi una lista di clienti su una piattaforma pubblicitaria per creare un pubblico simile (look-alike), non controlli quali attributi il sistema usa per trovare persone simili. Potrebbe usare segnali che rivelano categorie protette.

Chi è responsabile nella filiera RTB: la piattaforma o chi fa la campagna?

Entrambi. La decisione su Xandr stabilisce che ogni soggetto che partecipa al trattamento dei dati — anche solo ricevendo segnali durante un’asta — è un contitolare del trattamento e risponde in modo autonomo.

Nella filiera del programmatic advertising ci sono almeno quattro soggetti: l’advertiser (chi fa la campagna), la DSP (piattaforma che compra spazi), la SSP (piattaforma che vende spazi) e il publisher (il sito che mostra l’annuncio). Ognuno riceve e processa dati degli utenti.

Il principio stabilito dall’autorità norvegese — e confermato dall’EDPB — è che la responsabilità non si trasferisce a valle. Non puoi dire «la piattaforma gestisce il consenso, io sono a posto». Devi verificare che il consenso sia valido per il tuo specifico trattamento.

Questo è lo stesso principio che ha portato alla multa da 250.000 euro a IAB Europe nel 2025, confermata dalla Corte d’Appello di Bruxelles: le TC String del framework TCF — i segnali di consenso usati nel programmatic — sono dati personali, e chi li usa è responsabile della loro validità.

Quanto è grande davvero il rischio: i numeri del mercato e delle sanzioni

Le sanzioni GDPR legate all’adtech superano i 5 miliardi di euro complessivi. In Italia, il Garante ha già emesso 83,7 milioni di euro di sanzioni solo nei primi dieci mesi del 2026.

Il mercato pubblicitario digitale italiano vale già 6,2 miliardi di euro nel 2025, con una crescita dell’11% rispetto all’anno precedente, secondo gli Osservatori Digital Innovation del Politecnico di Milano. La quota programmatic è una parte rilevante di questo totale. Più cresce il mercato, più cresce l’attenzione delle autorità.

Il Garante Privacy italiano ha aumentato le sanzioni del 54,5% nel 2025 rispetto al 2024, passando da 24,4 a 37,76 milioni di euro, come riportato da iSimply. Il trend del 2026 è ancora più marcato.

Cosa sta succedendo nel settore adtech: le mosse delle autorità europee nel 2026

Nel 2026 le autorità europee hanno coordinato un’azione specifica sulla trasparenza del consenso nelle campagne digitali. Non è un’iniziativa isolata: è un programma pluriennale.

A marzo 2026, l’EDPB ha lanciato il suo Coordinated Enforcement Framework (CEF) 2026: 25 autorità nazionali di protezione dei dati stanno verificando insieme il rispetto degli obblighi di trasparenza e informazione agli utenti (articoli 12-14 del GDPR). Chi gestisce campagne programmatic e cookie consent è direttamente nel mirino.

Nel 2025, IAB Europe ha rilasciato il TCF v2.3 — la versione aggiornata del framework standard per la gestione del consenso nelle aste RTB — per risolvere i problemi di ambiguità nei segnali. Tutti i partecipanti avevano tempo fino al 28 febbraio 2026 per adottarlo, pena l’esclusione dalle aste di Google. Se la tua piattaforma programmatic non ha ancora aggiornato il framework, sei fuori compliance.

Il quadro complessivo è chiaro: le autorità non stanno aspettando. Chi non ha fatto i controlli rischia di trovarsi in una posizione difficile durante un’ispezione.

Tre scenari concreti: cosa cambia per un e-commerce, uno studio professionale e un’azienda manifatturiera?

Il rischio non è uguale per tutti. Dipende da come usi le piattaforme pubblicitarie e da quali dati entrano nei flussi di targeting.

Esempi illustrativi: i numeri e le situazioni servono a mostrare il ragionamento, non sono dati di clienti reali.

Come si fa un audit dei flussi RTB: i passi concreti da fare adesso?

Un audit RTB non richiede competenze da avvocato. Richiede di mappare chi riceve i dati degli utenti durante le campagne e verificare che ogni soggetto abbia una base giuridica valida.

Quali errori si fanno più spesso quando si gestisce la compliance nelle campagne programmatic?

L’errore più comune è delegare tutto alla piattaforma. Il secondo è non aggiornare il banner cookie quando si aggiungono nuove integrazioni pubblicitarie.

Come abbiamo visto nel caso Xandr, affidarsi al consenso raccolto da un altro soggetto non è sufficiente. Ma ci sono altri errori frequenti che aumentano il rischio.

• Usare segmenti di pubblico pre-costruiti dalla piattaforma senza sapere quali attributi includono. Alcuni segmenti comportamentali delle DSP possono contenere inferenze su categorie protette.
• Caricare liste CRM complete senza filtrare i campi sensibili. Un file con la colonna «patologia» o «trattamento» non dovrebbe mai entrare in una piattaforma pubblicitaria.
• Non aggiornare l’informativa privacy quando si aggiunge una nuova piattaforma. Ogni nuovo partner deve essere elencato.
• Ignorare le richieste di opt-out degli utenti. Come segnalato nella multa BBVA per opt-out ignorato, questo è un rischio autonomo e sanzionabile.
• Non verificare la compliance dei partner quando cambiano le loro condizioni. Le piattaforme aggiornano spesso i termini di servizio.

Come capire se la tua compliance RTB è davvero a posto?

Ci sono indicatori concreti che puoi verificare senza essere un esperto legale. Se anche uno solo è negativo, è il momento di agire.

Allora, la compliance RTB è davvero urgente per la tua azienda?

Vale la pena sefai campagne programmatic con DSP di terze parti, carichi liste CRM sulle piattaforme o usi segmenti comportamentali avanzati. In questi casi, un audit è necessario adesso, prima della prossima campagna.

Una via di mezzousi solo Google Ads o Meta in modalità standard, senza caricare dati CRM e senza segmenti sensibili. Il rischio è basso, ma vale la pena verificare il banner cookie e i contratti DPA almeno una volta all’anno.

Non ancora sefai solo campagne B2B su LinkedIn con targeting per ruolo professionale e non carichi dati personali. Il rischio è minimo, ma tieni d’occhio gli aggiornamenti normativi del settore.

Come la vediamo in SHM

Per noi, la tecnologia è un mezzo: serve a fare meglio il lavoro, non a nascondere le responsabilità. Il caso Xandr lo dimostra in modo netto: usare una piattaforma sofisticata non trasferisce la responsabilità legale a chi l’ha costruita.

Quando lavoriamo con aziende che gestiscono campagne digitali, la prima cosa che facciamo è mappare chi riceve i dati degli utenti e con quale base giuridica. Non è un esercizio burocratico: è il presupposto per fare campagne che funzionano nel tempo, senza rischi che azzerano il ritorno sull’investimento.

La multa a Xandr non è un caso isolato. Come mostrano la multa Wind Tre da 16,7 milioni per il telemarketing e la multa Uber da 825 milioni per le decisioni automatiche, le autorità stanno costruendo un quadro coerente: ogni soggetto che tratta dati risponde in modo autonomo. Vale per i giganti tech, vale per le PMI italiane.

Se vuoi capire come le tue campagne si posizionano rispetto a questi rischi, possiamo partire da un’analisi dei flussi di dati attivi. Trovi i nostri servizi di integrazione strategica AI e gestione campagne Google Ads pensati per aziende che vogliono crescere senza esporsi a rischi evitabili. Puoi anche esplorare il nostro hub su Project management e tecnologia per restare aggiornato sulle normative digitali che impattano le PMI italiane.

E se hai già letto del rischio delle impostazioni predefinite nelle campagne ads, sai già che il problema non è mai solo tecnico: è sempre anche una questione di scelte consapevoli.

Domande frequenti

La multa a Xandr non è una notizia sul passato: è la descrizione di come funziona il programmatic adesso, e di chi risponde quando qualcosa va storto.