O Grindr concordou em pagar £ 26 milhões — aproximadamente US$ 35 milhões — para encerrar uma ação coletiva no Reino Unido envolvendo acusações extremamente sensíveis sobre privacidade.
Cerca de 12 mil usuários britânicos participaram do processo, que alegava violações das leis de proteção de dados relacionadas a práticas adotadas pelo aplicativo até o início de 2020.
Entre as informações que, segundo os autores da ação, teriam sido compartilhadas com terceiros estavam dados como:
status de HIV;
data do último teste de HIV;
uso de PrEP;
etnia;
e outras informações pessoais presentes nos perfis.
Mas existe uma ressalva fundamental:
o acordo não representa uma admissão de culpa do Grindr.
A própria documentação regulatória da companhia afirma expressamente que o acordo não contém constatação nem admissão de responsabilidade.
A informação da publicação está essencialmente correta — mas a data merece ajuste
O card compartilhado afirma que o Grindr pagou US$ 35 milhões para encerrar o processo e que o acordo “saiu em 8 de setembro”.
O valor está essencialmente correto, considerando a conversão cambial.
Mas a cronologia precisa ser refinada.
O acordo foi efetivamente fechado em:
2 de setembro de 2026.
O Grindr comunicou oficialmente o fato ao mercado por meio de documento apresentado à SEC, reguladora do mercado de capitais dos Estados Unidos.
A notícia ganhou maior repercussão internacional nos dias seguintes e voltou a circular em publicações de 7 e 8 de setembro.
Portanto, 8 de setembro é a data de algumas reportagens sobre o caso, e não a data em que o acordo foi celebrado.
E o dinheiro ainda será pago
Outro ajuste importante está no verbo “pagou”.
Tecnicamente, o Grindr:
concordou em pagar £ 26 milhões.
O pagamento será realizado em duas parcelas.
A primeira:
£ 13 milhões até 31 de dezembro de 2026.
A segunda:
£ 13 milhões até 31 de março de 2027.
Pela cotação utilizada pela própria companhia na divulgação, cada parcela correspondia a aproximadamente:
US$ 17,6 milhões.
O total fica, portanto, próximo de:
US$ 35,2 milhões.
O processo começou em 2024
A disputa remonta a abril de 2024, quando a ação foi apresentada na High Court of England and Wales.
O escritório londrino Austen Hays liderou o caso em nome dos usuários.
O Grindr foi formalmente notificado sobre o processo em abril de 2025.
As acusações se concentravam em práticas de tratamento de dados ocorridas durante um período que terminou no início de:
2020.
Isso é importante porque a estrutura societária da empresa mudou desde então.
Grindr estava sob controle da chinesa Kunlun
Durante o período central das acusações, o Grindr era controlado pelo conglomerado chinês:
Kunlun.
A empresa chinesa havia adquirido participação no aplicativo gradualmente e passou a controlá-lo.
Em 2020, porém, o Grindr foi vendido para novos proprietários.
A atual administração utiliza essa separação temporal como um elemento importante de sua defesa reputacional.
A empresa afirma ter reformulado profundamente seu programa de privacidade desde a mudança de controle.
O que os usuários alegaram?
O ponto mais delicado está na natureza das informações envolvidas.
Segundo os demandantes, informações pessoais e altamente sensíveis teriam sido compartilhadas com terceiros sem consentimento adequado.
Entre elas estavam dados relacionados à:
saúde sexual.
Alguns usuários disponibilizavam voluntariamente informações sobre HIV em seus perfis.
O aplicativo permitia indicar, por exemplo:
status de HIV;
data do último teste;
utilização de PrEP.
A existência dessa funcionalidade tinha uma finalidade legítima de saúde e comunicação entre usuários.
O problema discutido judicialmente era:
o que acontecia com essas informações depois que eram fornecidas ao aplicativo?
Grindr contesta uma parte central dessa narrativa
É importante separar acusação de fato comprovado.
O Grindr nega ter fornecido informações de saúde dos usuários a anunciantes para utilização em publicidade.
A companhia já afirmou publicamente que determinadas informações foram compartilhadas com prestadores de serviços técnicos para permitir o funcionamento e monitoramento de recursos do aplicativo.
Segundo essa versão, os dados teriam sido transmitidos de maneira protegida para finalidades técnicas específicas.
Os autores da ação apresentaram uma interpretação diferente sobre as práticas de dados.
O acordo encerra a disputa sem que uma decisão judicial tenha estabelecido definitivamente qual versão prevalece.
Portanto, não houve sentença declarando que Grindr vendeu dados de HIV
Essa distinção é essencial.
O resultado foi:
acordo.
Não:
condenação após julgamento.
A companhia decidiu encerrar o litígio mediante pagamento, mas continua contestando as alegações.
Isso significa que seria incorreto transformar a manchete em:
“Grindr é condenado por vender dados de HIV.”
Não foi isso que aconteceu.
Por que uma empresa paga milhões mesmo negando responsabilidade?
Porque processos judiciais possuem custos e riscos.
Honorários.
Anos de disputa.
Incerteza sobre uma futura decisão.
Exposição reputacional.
Tempo de executivos.
Possíveis impactos para investidores.
Uma empresa pode concluir que pagar um acordo é economicamente mais previsível do que continuar litigando.
Por isso, acordos frequentemente incluem cláusulas deixando claro que:
não existe admissão de responsabilidade.
Mas Grindr reconheceu a perda de confiança
Apesar de contestar as alegações, a linguagem utilizada pela companhia chama atenção.
O Grindr reconheceu o:
sofrimento e a perda de confiança
expressados por alguns usuários britânicos em relação ao período anterior a 2020.
Essa escolha de palavras mostra como o problema vai além de uma discussão jurídica.
Existe uma questão de:
confiança.
E poucas categorias de dados dependem tanto dela quanto informações relacionadas à saúde e à vida privada.
Dados sobre HIV estão entre as informações mais delicadas que uma plataforma pode possuir
Imagine duas informações armazenadas em sistemas diferentes.
A primeira:
“usuário prefere filmes de ficção científica.”
A segunda:
“usuário vive com HIV.”
Tecnicamente, ambas são dados.
Mas as consequências de exposição são completamente diferentes.
Informações sobre saúde podem resultar em:
discriminação;
constrangimento;
estigmatização;
problemas profissionais;
danos pessoais.
É justamente por isso que legislações de proteção de dados concedem proteção reforçada a determinadas categorias.
No Brasil, seria dado pessoal sensível
Sob a Lei Geral de Proteção de Dados — LGPD, informações referentes à saúde são classificadas como:
dados pessoais sensíveis.
A LGPD inclui nessa categoria informações sobre:
origem racial ou étnica;
convicção religiosa;
opinião política;
filiação sindical;
saúde;
vida sexual;
dados genéticos;
dados biométricos vinculados a uma pessoa.
A lógica é simples.
O uso inadequado dessas informações possui potencial particularmente elevado de produzir discriminação e outros danos.
Aplicativos de relacionamento possuem uma concentração extraordinária de informações
Esse é um aspecto pouco discutido.
Um aplicativo desse tipo pode conhecer:
localização;
orientação sexual;
preferências;
idade;
fotografias;
conversas;
hábitos;
horários;
relacionamentos;
dados de saúde;
informações sobre vida sexual.
Poucas plataformas possuem uma combinação tão íntima de dados.
Quando essas informações são combinadas, o risco cresce.
O problema não é apenas cada dado isoladamente
Imagine que uma empresa possua apenas uma localização aproximada.
Talvez não pareça extremamente sensível.
Agora combine:
localização;
horário;
perfil;
orientação sexual;
status de HIV;
identificador do dispositivo.
O conjunto pode revelar muito mais do que qualquer informação isolada.
Esse fenômeno é conhecido como:
data aggregation.
Quanto mais dados são cruzados, maior pode ser o poder de identificação e inferência.
Publicidade digital tornou esse problema muito maior
Durante muitos anos, aplicativos gratuitos financiaram seus serviços utilizando publicidade.
Para fazer publicidade funcionar, surgiu um enorme ecossistema de:
SDKs;
identificadores;
plataformas de anúncios;
analytics;
data brokers;
sistemas de atribuição;
ferramentas de medição.
Um único aplicativo pode incorporar tecnologias de diversos fornecedores.
Isso cria uma pergunta complicada:
quantas empresas realmente recebem informações quando alguém abre um aplicativo?
SDKs podem funcionar como portas invisíveis
Um SDK é um conjunto de ferramentas fornecido por terceiros para adicionar funcionalidades a um aplicativo.
Pode servir para:
analytics;
login;
publicidade;
crash reporting;
pagamentos;
notificações.
O desenvolvedor não precisa criar tudo do zero.
Mas existe uma consequência.
Essas bibliotecas podem receber informações sobre:
dispositivo;
sessão;
comportamento;
identificadores.
Por isso, governança de fornecedores tornou-se uma das áreas mais importantes da privacidade moderna.
“Não vendemos seus dados” pode ser uma frase insuficiente
Empresas frequentemente dizem:
“não vendemos dados pessoais.”
Mas isso não responde todas as perguntas.
Existe compartilhamento?
Com quem?
Para qual finalidade?
Quais campos são enviados?
Por quanto tempo?
Existe consentimento?
O terceiro pode reutilizar a informação?
Existe combinação com outros dados?
A palavra “venda” representa apenas uma das possibilidades.
O caso também tem uma história anterior na Noruega
Grindr já enfrentou problemas regulatórios relacionados à privacidade na Europa.
Em 2021, a autoridade norueguesa de proteção de dados aplicou uma multa de:
65 milhões de coroas norueguesas.
A penalidade estava relacionada a práticas de compartilhamento de informações com terceiros e questões envolvendo consentimento.
A disputa seguiu por anos e a decisão foi mantida em instância de recurso em 2025.
O caso norueguês não é exatamente o mesmo processo britânico
É importante não misturar os dois.
No Reino Unido, estamos falando de uma:
ação coletiva de usuários.
Na Noruega, tratava-se de:
processo regulatório de proteção de dados.
São mecanismos jurídicos diferentes.
Mas ambos mostram como práticas históricas de dados podem continuar gerando consequências muitos anos depois.
Esse é um dos maiores ensinamentos para empresas brasileiras
Uma decisão sobre dados tomada hoje pode continuar criando risco:
cinco;
dez;
ou mais anos depois.
Sistemas mudam.
Executivos mudam.
Empresas são vendidas.
Políticas são reescritas.
Mas registros e consequências jurídicas podem permanecer.
No caso do Grindr, o acordo anunciado em 2026 trata de práticas:
anteriores a 2020.
Mudança de controlador não apaga necessariamente o passivo
Esse é outro ponto empresarial importante.
Imagine uma companhia adquirindo uma plataforma.
Ela compra:
marca;
tecnologia;
clientes;
receita.
Mas também pode herdar:
litígios;
investigações;
riscos de privacidade;
problemas históricos.
Por isso, proteção de dados também entrou no processo de:
due diligence de fusões e aquisições.
Privacidade agora influencia valuation
Uma base gigantesca de usuários pode parecer um ativo extraordinário.
Mas a pergunta não é apenas:
quantos dados existem?
Também é:
esses dados foram obtidos e tratados corretamente?
Uma base construída de maneira juridicamente problemática pode se transformar de ativo em:
passivo.
E inteligência artificial aumenta ainda mais essa preocupação
Hoje existe uma nova questão que não possuía a mesma escala em 2018:
IA generativa.
Empresas estão enviando dados para:
modelos;
APIs;
agentes;
sistemas de análise;
assistentes internos.
Isso cria uma versão moderna do mesmo problema.
O funcionário pode compartilhar dados sem perceber
Imagine um profissional copiando uma planilha com informações de clientes para um chatbot e perguntando:
“Analise esses dados.”
A ferramenta responde perfeitamente.
Mas o problema começa depois.
Quais informações foram enviadas?
Existiam dados de saúde?
Foram armazenadas?
Qual provedor recebeu?
Qual região processou?
Serão usadas para treinamento?
Quem autorizou?
Shadow AI pode virar o novo Shadow IT
Durante anos, departamentos de segurança combateram:
Shadow IT.
Funcionários contratavam ou utilizavam ferramentas sem aprovação.
Agora surge:
Shadow AI.
É ainda mais perigoso em determinadas situações porque enviar informações para uma IA é extremamente fácil.
Copiar.
Colar.
Enviar.
Em segundos, dados confidenciais podem sair do ambiente corporativo.
Saúde exige cuidado ainda maior
Hospitais.
Clínicas.
Laboratórios.
Farmácias.
Healthtechs.
Seguradoras.
Aplicativos de saúde.
Todos trabalham com informações extremamente sensíveis.
Adicionar IA a esses processos pode gerar enorme valor.
Mas também amplia a superfície de governança.
O caso Grindr mostra que privacidade não é apenas segurança cibernética
Não é necessário ocorrer um:
ransomware;
ataque hacker;
invasão;
vazamento externo
para existir um problema de proteção de dados.
Uma empresa pode possuir excelente segurança técnica e ainda assim enfrentar questionamentos sobre:
como ela própria utiliza ou compartilha informações.
Essa diferença é fundamental.
Vazamento e uso inadequado são problemas distintos
Um vazamento normalmente envolve acesso não autorizado.
Um problema de privacidade pode ocorrer mesmo quando todos os sistemas funcionaram exatamente como foram programados.
Se um aplicativo foi programado para enviar determinada informação a um terceiro e isso viola regras aplicáveis, não houve necessariamente falha técnica.
Houve:
falha de governança.
É por isso que privacidade precisa estar no design
O conceito de:
Privacy by Design
propõe que privacidade seja considerada desde a criação do produto.
Não depois.
Antes de adicionar um SDK, perguntar:
Quais dados ele recebe?
Antes de criar um recurso, perguntar:
Precisamos realmente coletar isso?
Antes de compartilhar, perguntar:
Qual a finalidade?
Antes de armazenar, perguntar:
Por quanto tempo?
Minimização de dados reduz risco
Uma das estratégias mais simples é também uma das mais poderosas:
não coletar aquilo que não é necessário.
Se determinada informação nunca é coletada, ela:
não pode vazar;
não pode ser compartilhada indevidamente;
não pode ser roubada;
não precisa ser eliminada posteriormente.
Na economia digital, durante anos predominou a lógica:
colete tudo, talvez seja útil depois.
Leis modernas de proteção de dados empurram empresas para outra lógica:
colete aquilo que realmente precisa.
O acordo de US$ 35 milhões não encerra a discussão maior
Financeiramente, £ 26 milhões representam uma quantia significativa.
Mas o impacto mais importante pode ser reputacional.
Aplicativos de relacionamento dependem de confiança.
Usuários entregam informações que muitas vezes não compartilhariam:
com colegas;
empregadores;
familiares;
ou publicamente.
Quando existe dúvida sobre como esses dados são utilizados, o produto inteiro pode ser afetado.
O Grindr diz que mudou
A companhia afirma que, desde a mudança de controle em 2020, reformulou seu programa de privacidade.
Também declara que hoje mantém foco em:
transparência;
controle do usuário;
práticas responsáveis de dados.
Essas afirmações representam a posição atual da empresa e não devem ser confundidas com uma conclusão independente sobre todos os seus processos atuais.
O acordo não prova as acusações — mas prova o custo do risco
Essa talvez seja a conclusão mais importante.
Não houve sentença declarando o Grindr culpado pelas alegações britânicas.
Não houve admissão de responsabilidade.
Mas existe um fato financeiro concreto:
£ 26 milhões.
É quanto a empresa concordou em pagar para encerrar uma disputa relacionada a práticas históricas de dados.
E ainda existe outro número:
seis anos.
Esse é aproximadamente o tempo entre o fim do período discutido no processo e o acordo de 2026.
Para qualquer organização que trabalhe com informações pessoais, o recado é poderoso.
Dados podem permanecer em sistemas por muito tempo.
Mas:
o risco jurídico pode permanecer ainda mais.
