La Norvège inflige une amende de 9,6 millions de dollars à la filiale de Microsoft Xandr pour l'utilisation abusive des données de Grindr

L'autorité norvégienne de protection des données, Datatilsynet, a infligé une amende de 92 millions de couronnes (9,61 millions de dollars) à Xandr, l'unité de technologie publicitaire de Microsoft. Cette pénalité, annoncée lundi, marque la plus grosse amende jamais prononcée par le régulateur norvégien. L'autorité a constaté que Xandr avait transmis illégalement des données sensibles provenant des utilisateurs de l'application de rencontres Grindr à des milliers d'annonceurs entre juillet 2018 et avril 2020.

Partage de données et responsabilité légale

L'affaire porte sur l'utilisation de l'enchère en temps réel, un processus par lequel l'espace publicitaire est vendu en quelques millisecondes lorsque l'utilisateur ouvre une application. Selon Datatilsynet, lorsque les utilisateurs en Norvège lançaient Grindr, leurs données personnelles étaient envoyées via Xandr et potentiellement partagées avec de nombreuses entreprises du secteur de la publicité. Comme Grindr s'adresse aux utilisateurs gays, bisexuels, trans et queer, le régulateur a estimé que l'utilisation de l'application seule pouvait révéler l'orientation sexuelle d'une personne. Conformément aux règles européennes de protection des données, il s'agit de données sensibles nécessitant un consentement explicite pour leur traitement.

Xandr a fait valoir qu'il partait du principe que Grindr avait obtenu un consentement valide de la part de ses utilisateurs et n'a pas vérifié cette information de manière indépendante. Le régulateur a rejeté cette défense, estimant que Xandr partageait la responsabilité légale avec Grindr pour les violations de données. Line Coll, directrice générale de Datatilsynet, a déclaré : « La responsabilité en matière de protection des données ne peut pas être déléguée à d'autres », soulignant que chaque entreprise doit s'assurer indépendamment qu'elle dispose d'une base légale pour utiliser les données qu'elle acquiert.

Réponse de Microsoft et contexte historique

Microsoft a déclaré que la confidentialité des utilisateurs est une priorité absolue. Dans un communiqué, l'entreprise a indiqué : « Cette enquête et cette décision portaient sur des comportements antérieurs à l'acquisition de Xandr par Microsoft, et au cours de cette période, l'interprétation et l'application des normes juridiques et des pratiques ont continué d'évoluer. Nous examinons la décision et évaluons nos options. »

L'amende a été calculée en fonction des revenus de Xandr plutôt que de ceux de Microsoft, car Microsoft ne possédait pas l'unité au moment des violations. Xandr dispose de trois semaines pour faire appel de la décision. Ce jugement fait suite à une amende de 65 millions de couronnes infligée à Grindr en 2021 pour des violations similaires, qui a été confirmée par les tribunaux norvégiens en 2025.

Précédent pour les intermédiaires de la publicité technologique

L'affaire est née d'une plainte déposée en 2020 par le Conseil norvégien de la consommation et l'organisation autrichienne de protection des données noyb. Felix Mikolasch, avocat en protection des données chez noyb, a décrit le jugement comme un précédent important qui pourrait obliger les entreprises de publicité technologique à une plus grande responsabilité. Finn Myrstad, directeur de la politique numérique au Conseil norvégien de la consommation, a déclaré que la décision met en garde les entreprises qui s'appuient sur le suivi des utilisateurs.

La décision s'aligne sur un jugement récent en France, où le Conseil d'État a confirmé une amende de 40 millions d'euros infligée à l'entreprise de retargeting Criteo, rejetant également l'argument selon lequel les sites web partenaires étaient seuls responsables de la collecte du consentement. Ces affaires établissent collectivement que les intermédiaires de la publicité technologique ne peuvent pas rejeter la faute pour les violations de la vie privée sur les applications auprès desquelles ils achètent des données.

Pourquoi c'est important

Ce jugement renforce le principe que les responsabilités en matière de protection des données ne peuvent pas être externalisées ou déléguées au sein de la chaîne d'approvisionnement publicitaire. En tenant Xandr responsable des données qu'il n'a pas directement collectées, les régulateurs norvégiens signalent que les intermédiaires de la publicité technologique doivent vérifier activement le consentement et les bases légales pour le traitement des informations sensibles des utilisateurs. Cela établit un précédent significatif pour le fonctionnement des entreprises mondiales de publicité technologique en Europe, nécessitant potentiellement des vérifications de conformité plus rigoureuses pour les données acquises auprès d'applications tierces.

Sources (en anglais)

• srnnews.com: Norway fines Microsoft's Xandr $9.6 million over Grindr data sharing - SRN News
• cryptopolitan.com: Norway fines Microsoft's Xandr $9.6 million over Grindr data sharing - Cryptopolitan

Traduction réalisée par IA de l’article original en anglais, vérifiée automatiquement pour dire la même chose que l’original. Les sources ont été vérifiées en anglais.