Xandr (Microsoft) : 92 M NOK d'amende en Norvège sur Grindr

La Datatilsynet, l'autorité norvégienne de protection des données, a infligé une amende de 92 millions de couronnes (8,6 millions d'euros) à Xandr, régie publicitaire aujourd'hui filiale de Microsoft, pour traitement illicite de données personnelles sensibles sans base légale. C'est la plus lourde amende jamais prononcée par l'autorité. La décision s'appuie sur la diffusion de données d'utilisateurs Grindr dans l'enchère publicitaire en temps réel (RTB). Source primaire : le communiqué de la Datatilsynet ; reportage : Next.ink.

Ce qui est reproché

Entre juillet 2018 et avril 2020, Xandr (ex-AppNexus) a relayé, via le real-time bidding, des données d'utilisateurs Grindr en Norvège vers un grand nombre d'entreprises. Ces données révélaient l'orientation sexuelle — une catégorie particulière au sens du RGPD, qui exige un consentement explicite. L'autorité estime que Xandr ne s'est pas assuré de disposer d'un consentement valable. Elle qualifie Xandr de responsable conjoint du traitement avec Grindr.

Pourquoi c'est notable pour les praticiens

Le cœur de la décision tient dans une phrase de l'autorité : la responsabilité en matière de protection des données ne peut pas être reportée sur autrui. Xandr arguait que ses contrats interdisaient à ses clients de partager de telles données, rendant le client seul responsable. L'autorité rejette ce raisonnement : les parties ne peuvent pas simplement se renvoyer la responsabilité. Pour toute entreprise de la chaîne adtech, cela ferme la porte à la clause contractuelle comme bouclier : être maillon d'une transmission RTB de données sensibles engage une responsabilité propre.

L'amende a été calculée sur le chiffre d'affaires de Xandr, et non sur celui de Microsoft, Xandr n'étant pas encore intégré au groupe pendant la période d'infraction.

Précédent

• La Datatilsynet avait déjà sanctionné Grindr sur le même sujet, une amende de 5,8 millions d'euros confirmée en octobre 2023.
• La plainte à l'origine de l'affaire a été déposée par le Conseil norvégien de la consommation (Forbrukerrådet) en 2020.
• Xandr dispose de trois semaines à compter de la notification pour faire appel.

Que faire

1. Cartographiez vos flux RTB. Identifiez quelles catégories de données partent dans les bid requests, et si des données sensibles (orientation, santé, religion) peuvent transiter, même indirectement.
2. Ne vous reposez pas sur les clauses contractuelles interdisant aux partenaires certains usages : l'autorité les juge insuffisantes à transférer la responsabilité.
3. Documentez la base légale de chaque traitement de catégorie particulière, consentement explicite inclus, à chaque maillon où vous êtes responsable ou responsable conjoint.

Contexte

La décision prolonge une série européenne qui vise la mécanique même du RTB, après les procédures autour du TCF d'IAB Europe et les sanctions successives contre Grindr. Le signal pour les régies et les éditeurs est constant : la diffusion à grande échelle de signaux d'audience sensibles dans l'enchère publicitaire est traitée comme un traitement à part entière, avec un responsable identifiable à chaque étape — pas comme un simple tuyau neutre.