En bref
- Xandr a reçu et traité, dans le cadre d’enchères publicitaires en temps réel, des données liées à des utilisateurs norvégiens de la version gratuite de Grindr.
- Le régulateur considère que l’usage de Grindr révèle une orientation sexuelle et exigeait donc un consentement explicite, que Xandr n’a pas vérifié de manière indépendante.
- La société est qualifiée de responsable conjoint avec Grindr, aussi bien du côté de l’offre que de la demande publicitaire.
- L’amende de 92 millions de couronnes norvégiennes, soit 8,6 millions d’euros selon l’autorité, est la plus élevée qu’elle ait prononcée.
Une sanction record contre un intermédiaire publicitaire
L’autorité norvégienne de protection des données a infligé une amende administrative de 92 millions de couronnes norvégiennes à Xandr, montant qu’elle évalue à 8,6 millions d’euros. Il s’agit de la sanction financière la plus élevée qu’elle ait prononcée. L’entreprise américaine, anciennement AppNexus et intégrée à Microsoft depuis 2022, est sanctionnée pour avoir traité les données personnelles d’utilisateurs de Grindr en Norvège sans base juridique, ainsi que des données relevant d’une catégorie spécialement protégée sans exception valable à l’interdiction prévue par le RGPD.
La décision vise une période allant du 20 juillet 2018 au 7 avril 2020 et concerne la version gratuite de l’application. Selon le régulateur, des milliers d’utilisateurs norvégiens ont été exposés à un partage illicite de données sensibles. Xandr dispose de trois semaines à compter de la réception de la décision pour faire appel. La sanction constitue donc la conclusion administrative de l’autorité, mais le délai de recours signifie que cette conclusion peut encore être contestée.
Une procédure ouverte après une plainte de consommateurs
Le dossier trouve son origine dans des plaintes déposées en 2020 par le Conseil norvégien des consommateurs contre Grindr, Xandr et quatre autres entreprises de la publicité numérique. Elles s’appuyaient notamment sur deux rapports consacrés aux pratiques du secteur. L’autorité a ensuite demandé à plusieurs reprises des informations à Xandr sur les flux de données, les finalités du traitement, les fondements juridiques invoqués et le chiffre d’affaires de l’entreprise avant de notifier, en avril 2025, son intention d’imposer une amende.
Cette décision ne rejoue pas juridiquement l’ensemble du dossier Grindr. Son périmètre est limité à la licéité de la collecte et du partage effectués par Xandr au regard des articles 6 et 9 du RGPD. Le régulateur précise qu’il n’a pas évalué, dans cette procédure, les activités de Grindr et de MoPub. Grindr avait déjà reçu en 2021 une amende de 65 millions de couronnes pour des manquements équivalents, conclusions ensuite confirmées par plusieurs instances norvégiennes.
Comment les données entraient dans les enchères en temps réel
Le mécanisme en cause est celui des enchères publicitaires en temps réel. Lorsqu’une personne ouvrait Grindr, des données pouvaient être transmises à des plateformes qui mettaient automatiquement en concurrence des annonceurs pour afficher une publicité ciblée. Ces opérations se déroulaient en une fraction de seconde, sans être visibles pour l’utilisateur. Xandr intervenait dans cet écosystème à la fois comme plateforme du côté des vendeurs d’espace et du côté des acheteurs, ce qui fonde sa qualification de responsable conjoint retenue par l’autorité.
Le régulateur estime établi, selon le niveau de preuve qu’il applique, que Xandr a au moins traité le fait qu’une personne utilisait Grindr, son identifiant publicitaire et son adresse IP. Il considère ces éléments comme des données personnelles et juge que l’usage même de l’application révèle une information concernant l’orientation sexuelle. Les requêtes publicitaires pouvaient passer par Xandr vers potentiellement des milliers d’acteurs, avec la possibilité de rapprocher ces informations d’autres données pour établir un profil plus détaillé.
Le consentement de Grindr ne déchargeait pas Xandr
Le cœur du désaccord porte sur le fondement juridique du traitement. Pour des données concernant l’orientation sexuelle, l’autorité estime qu’un consentement explicite était nécessaire. Xandr n’a pas recueilli ce consentement directement et s’est appuyée sur celui que Grindr était supposée avoir obtenu. Or, le régulateur avait déjà jugé le mécanisme de Grindr invalide au regard des exigences du RGPD. Il reproche surtout à Xandr de ne pas avoir contrôlé la validité de ce consentement ni vérifié qu’il couvrait ses propres opérations.
Xandr a soutenu qu’elle pensait que cette responsabilité revenait à Grindr. L’autorité rejette cette ligne de défense et en tire une conclusion plus large pour les intermédiaires publicitaires : la responsabilité de démontrer la licéité d’un traitement ne peut pas être transférée à un autre acteur. Chaque responsable conjoint doit effectuer ses propres vérifications. Dans ce dossier, les manquements sont qualifiés d’au moins négligents et d’une gravité élevée, car ils touchent à des dispositions centrales du RGPD et à des données sensibles.
Le montant reflète la durée et le modèle économique
Pour fixer l’amende, l’autorité dit avoir recherché une sanction effective, proportionnée et dissuasive. Elle a pris en compte la place importante de Xandr dans la technologie publicitaire, un secteur dont l’activité repose précisément sur le traitement de données personnelles. Le bénéfice financier direct associé au partage jugé illicite a pesé dans l’évaluation, tout comme la durée des pratiques, étalées sur presque deux ans. Le calcul s’est fondé sur le chiffre d’affaires annuel total de Xandr, et non sur celui de Microsoft, puisque l’entreprise n’appartenait pas au groupe pendant la période examinée.
La portée exacte des flux conserve toutefois des zones d’ombre. Xandr a confirmé avoir reçu des demandes d’enchères liées à des utilisateurs norvégiens pendant la période visée, tout en indiquant que cela ne s’était pas nécessairement produit chaque mois. L’entreprise a aussi déclaré que les données éventuellement détenues avaient été supprimées conformément à sa politique de conservation. La décision établit la nature de certaines données et le rôle de Xandr, mais les extraits disponibles ne chiffrent ni le nombre exact de personnes concernées ni celui des destinataires effectifs.
Ce qui reste à confirmer
La décision évoque des milliers d’utilisateurs norvégiens et des transmissions possibles vers potentiellement des milliers d’acteurs, sans fournir dans les extraits un décompte exact des personnes, des requêtes ni des destinataires effectifs. Xandr affirme ne pas avoir reçu de demandes d’enchères chaque mois et dit avoir supprimé les données selon sa politique de conservation. Un appel reste possible dans les trois semaines suivant la réception de la décision.