Données de Grindr : la Norvège inflige 8,6 millions d’euros à Xandr, régie de Microsoft

Des enchères en temps réel chargées de données sensibles

De juillet 2018 à avril 2020, Xandr faisait tourner des enchères publicitaires en temps réel à l’intérieur de Grindr. Chaque espace publicitaire y est attribué au moment de l’affichage, à partir d’informations transmises sur l’utilisateur. Selon BleepingComputer, ces informations pouvaient révéler l’orientation sexuelle et circuler vers des milliers d’entreprises. Les personnes touchées vivaient en Norvège, mais aussi dans d’autres pays.

Le RGPD range l’orientation sexuelle parmi les catégories particulières de données. D’après Next, la Datatilsynet reproche à Xandr de les avoir traitées sans base légale valable, puis partagées avec d’autres clients. L’autorité retient une circonstance aggravante : la régie a tiré un avantage financier de ces infractions, puisque la collecte facilitait ses transactions publicitaires.

La régie ne pouvait pas se reposer sur Grindr

Le cœur de la décision porte sur la responsabilité. Pour l’autorité, Xandr était responsable conjoint du traitement avec Grindr et devait exiger, puis obtenir, un consentement explicite. Elle a supposé que l’application l’avait recueilli. Sans jamais le vérifier.

Xandr faisait aussi valoir que son contrat interdisait à ses clients de lui transmettre ce type de données. La Datatilsynet refuse que les parties « se renvoient simplement la responsabilité », rapporte Next. Grindr avait déjà été sanctionnée pour les mêmes faits : 5,8 millions d’euros, une amende confirmée en octobre 2023. Toute la procédure part d’une plainte déposée en janvier 2020 par l’association autrichienne noyb, avec le Conseil norvégien des consommateurs (Forbrukerrådet).

Un record pour l’autorité, un appel encore possible

Le montant atteint 92 millions de couronnes norvégiennes, soit 8,6 millions d’euros, calculé selon le nombre d’utilisateurs norvégiens concernés, précise Next. Selon BleepingComputer, la Datatilsynet n’avait jamais prononcé d’amende aussi lourde. Sa directrice générale, Line Coll, justifie ce niveau par la gravité des manquements et rappelle que des milliers d’utilisateurs en Norvège ont subi un partage illégal de leurs données sensibles.

Microsoft a racheté Xandr en 2022, et la régie opère désormais sous le nom Microsoft Advertising. Elle dispose de trois semaines pour faire appel. Un porte-parole souligne que l’enquête vise des faits antérieurs au rachat et indique que le groupe examine la décision et ses options. Côté plaignants, Felix Mikolasch, avocat de noyb, y voit « un précédent précieux pour des affaires similaires ».

Notre avis

Plus de six ans séparent la plainte de noyb et la sanction : un délai considérable pour des données aussi sensibles. Le message porte malgré tout. Une régie ne peut plus se retrancher derrière l’application qui l’héberge, ni derrière une clause de contrat ; elle répond de ce qu’elle ramasse, et cette logique remonte la chaîne jusqu’aux acheteurs d’espace.

Si vous achetez de la publicité programmatique, en direct ou par une agence, demandez par écrit à votre régie comment elle vérifie le consentement des utilisateurs avant chaque enchère, et quelles catégories de données elle écarte. Sans réponse précise, suspendez vos campagnes dans les applications qui touchent à la santé, à la religion ou à la vie intime.