La Norvège inflige à Xandr, filiale de Microsoft, une amende record de 8,6 M€ pour la transmission de données de Grindr

L'Autorité norvégienne de protection des données a infligé à Xandr — l'unité de technologie publicitaire créée par AT&T à partir d'AppNexus et ensuite détenue par Microsoft — une amende de 8,6 millions d'euros (9,62 millions de dollars) pour avoir illégalement transmis les données sensibles des utilisateurs de Grindr à des annonceurs. Les infractions se sont déroulées de juillet 2018 à avril 2020, et l'autorité a qualifié la violation de « très grave », suffisamment pour justifier la plus lourde amende administrative qu'elle ait jamais prononcée, calculée sur le chiffre d'affaires annuel total de Xandr durant cette période de deux ans, antérieure à l'acquisition par Microsoft. Xandr dispose de trois semaines pour faire appel ; Microsoft a déclaré examiner la décision.

Le mécanisme était l'enchère en temps réel. Lorsqu'une personne ouvrait Grindr, ses données personnelles étaient dans de nombreux cas transmises via Xandr à potentiellement des milliers d'acteurs, les annonceurs enchérissant pour afficher des publicités ciblées — à l'insu de l'utilisateur. Les données comprenaient des signaux révélant l'orientation sexuelle, une information de catégorie particulière au sens du droit européen de la protection des données. L'autorité a conclu que Xandr était responsable conjoint du traitement avec Grindr, ce qui lui faisait porter la responsabilité d'obtenir le consentement des utilisateurs ; au lieu de s'assurer qu'elle disposait d'une base légale pour son propre traitement, Xandr a pointé Grindr, affirmant supposer que l'application de rencontre avait recueilli le consentement.

L'affaire a débuté par une plainte déposée en 2020 par le conseil des consommateurs norvégien, conjointement avec l'association autrichienne à but non lucratif de défense de la vie privée noyb, alléguant que Xandr avait partagé les données personnelles d'utilisateurs norvégiens sans consentement explicite. Xandr a depuis cessé d'exister en tant qu'entité — AT&T l'a créée après avoir acquis AppNexus en juin 2018, l'a vendue à Microsoft fin décembre 2021, et la marque a été intégrée à Microsoft Ads en juin 2023 — mais la responsabilité était attachée à l'entité qui avait effectué le traitement. La décision intervient un mois après que Grindr a versé 26 millions de livres sterling pour régler une action au Royaume-Uni concernant le partage des données des utilisateurs, y compris leur statut sérologique.

8,6 millions d'euros (9,62 millions de dollars), l'amende la plus élevée jamais prononcée par l'autorité norvégienne de protection des données, calculée sur le chiffre d'affaires de Xandr pour 2018-2020 ; trois semaines pour faire appel.

En tant que responsable conjoint du traitement, Xandr avait besoin de sa propre base légale pour le traitement et ne pouvait pas simplement supposer que Grindr avait obtenu le consentement des utilisateurs.

L'enchère en temps réel transmettait chaque ouverture de l'application Grindr à potentiellement des milliers d'enchérisseurs — invisible pour l'utilisateur et incontrôlable une fois envoyée.

Les données révélaient l'orientation sexuelle, une information de catégorie particulière au sens du RGPD, ce qui explique pourquoi l'autorité a prononcé une amende record plutôt qu'une amende de routine.

L'amende a été calculée sur le chiffre d'affaires de Xandr durant la période de l'infraction, avant la propriété de Microsoft, de sorte que la sanction a suivi le comportement, et non le propriétaire actuel.

Être un intermédiaire n'est pas un bouclier : quiconque est qualifié de responsable conjoint du traitement porte la question du consentement, même pour des données collectées par un autre.

Xandr dispose de trois semaines pour faire appel de la décision, et Microsoft indique qu'il l'examine et évalue ses options. Noyb a qualifié l'amende de « coup majeur porté à l'industrie de la publicité en ligne et de la surveillance commerciale ». Cette décision referme un cycle amorcé lorsque les pratiques de Grindr en matière de données avaient valu à l'application la plus lourde amende norvégienne de protection de la vie privée en 2021 : l'intermédiaire de technologie publicitaire qui avait acheté et revendu l'accès a désormais été sanctionné à son tour.