Données de Grindr : la Norvège inflige 92 millions de couronnes à Xandr

Le montant annoncé le 12 octobre par Datatilsynet est le plus élevé jamais prononcé par le régulateur norvégien. Celui-ci l’évalue lui-même à environ 8,6 millions d’euros. La sanction vise Xandr, plateforme de technologie publicitaire connue à l’époque des faits sous le nom d’AppNexus et aujourd’hui intégrée à Microsoft.

Le dossier remonte à 2020, lorsque le Conseil norvégien des consommateurs (Forbrukerrådet) a déposé plainte. Selon l’autorité, « des milliers d’utilisateurs en Norvège » ont vu leurs données sensibles partagées illégalement. Xandr dispose de trois semaines à compter de la réception de la décision pour la contester.

Au cœur du dossier se trouvent les enchères publicitaires en temps réel, ou real-time bidding. Lorsqu’un utilisateur ouvrait Grindr, application de rencontre géolocalisée destinée aux personnes gays, bi, trans et queer, ses données étaient dans de nombreux cas transmises via Xandr à potentiellement des milliers d’acteurs de l’écosystème publicitaire. Les annonceurs pouvaient alors enchérir pour lui afficher une publicité ciblée, à son insu.

Xandr intervenait à la fois du côté des acheteurs et de celui des vendeurs d’espaces. Or, rappelle Datatilsynet, le simple fait d’utiliser Grindr révèle une orientation sexuelle, catégorie de données qui bénéficie d’une protection renforcée. La cour d’appel de Borgarting l’avait confirmé dans le dossier Grindr, sanctionné en 2021 d’une amende de 65 millions de couronnes pour des manquements équivalents.

Pour sa défense, Xandr a fait valoir qu’elle pensait que Grindr avait recueilli le consentement des utilisateurs. L’argument n’a pas convaincu le régulateur, pour qui un consentement explicite était nécessaire. Selon lui, l’entreprise n’a rien fait pour vérifier la validité des consentements transmis par l’application, ni pour s’assurer d’une base légale propre à ses traitements. Datatilsynet la considère comme responsable conjointe du traitement avec Grindr.

« La responsabilité en matière de protection des données ne peut pas être reportée sur d’autres », résume Line Coll, directrice générale de l’autorité. Chaque entreprise doit selon elle garantir et pouvoir documenter la licéité de ses traitements. Elle estime que lorsque les acteurs se renvoient la responsabilité, les droits des utilisateurs deviennent « en pratique sans valeur ».

Pour les professionnels du marketing mobile, la portée de la décision dépasse le cas Grindr. Le RGPD s’applique en Norvège, membre de l’Espace économique européen. En retenant la responsabilité conjointe d’un intermédiaire, le régulateur signifie qu’une plateforme d’enchères ne peut pas se contenter de s’en remettre aux signaux de consentement transmis par l’éditeur de l’application.

Datatilsynet souligne aussi l’opacité de l’écosystème publicitaire pour les particuliers : une fois diffusées, des données peuvent être combinées à d’autres et dresser un portrait très détaillé d’une personne. L’autorité dit avoir voulu une sanction dissuasive pour Xandr comme pour les autres acteurs du secteur, dont le modèle économique repose sur le traitement de données personnelles.

Plusieurs facteurs ont pesé dans le calcul. Datatilsynet retient le bénéfice financier direct tiré du partage illicite, ainsi que la durée des manquements, près de deux ans, considérée comme une circonstance aggravante. L’amende a été calculée sur le chiffre d’affaires annuel de Xandr seule, et non sur celui de Microsoft, la société n’appartenant pas au groupe pendant la période concernée.

À la date de publication, aucune réaction de Microsoft ou de Xandr n’avait été rendue publique dans les sources consultées par ecranmobile.fr.