Données Grindr : la Norvège inflige 92 millions de couronnes à Xandr (Microsoft), qui n'avait pas vérifié le consentement
L'autorité norvégienne de protection des données, Datatilsynet, a annoncé le 12 octobre 2026 une amende de 92 millions de couronnes norvégiennes, soit environ 8,6 millions d'euros selon l'autorité, contre Xandr, la plateforme publicitaire aujourd'hui détenue par Microsoft. En cause : le relais de données d'utilisateurs de l'application de rencontre Grindr, dont des données révélant l'orientation sexuelle, sans base légale. Le message adressé à toute la chaîne publicitaire intéresse chaque DPO qui reçoit des données d'un partenaire : le consentement recueilli par un autre ne vous couvre pas tant que vous ne l'avez pas vérifié.
Ce que Datatilsynet reproche à Xandr
Le dossier remonte à 2020, quand le Conseil norvégien des consommateurs (Forbrukerrådet) a déposé plainte contre Xandr, qui s'appelait alors AppNexus. noyb, associé à la démarche, rappelle que trois plaintes avaient été déposées cette année-là contre Grindr et plusieurs sociétés publicitaires qui recevaient des données par l'application.
Selon le communiqué de Datatilsynet, le cœur de l'infraction est la participation de Xandr aux enchères en temps réel (real-time bidding), où la société intervenait à la fois côté acheteur et côté vendeur. Quand un utilisateur ouvrait Grindr, ses données étaient dans de nombreux cas relayées par Xandr vers potentiellement des milliers d'acteurs de l'écosystème publicitaire, sans que l'utilisateur le voie. L'autorité rappelle que le seul fait d'utiliser Grindr est une information qui indique l'orientation sexuelle.
Xandr a fait valoir qu'elle pensait que Grindr avait recueilli le consentement des utilisateurs. L'autorité écarte l'argument : un consentement explicite était requis, et Xandr n'a ni vérifié la validité des consentements recueillis par Grindr, ni pris de mesure pour fonder sa propre utilisation des données. Datatilsynet retient en outre que Xandr était responsable conjoint du traitement avec Grindr.
Les manquements ont duré de juillet 2018 à avril 2020, une durée retenue comme circonstance aggravante. L'autorité a aussi pesé le bénéfice financier direct tiré du partage illicite. Le montant a été calculé sur le chiffre d'affaires annuel de Xandr seul : celui de Microsoft n'a pas été retenu, Xandr n'appartenant pas au groupe pendant la période en cause. C'est la plus forte amende jamais prononcée par Datatilsynet. Xandr dispose de trois semaines à compter de la réception de la décision pour former un recours.
Pourquoi c'est important
La décision prolonge le dossier Grindr. L'application avait elle-même reçu une amende de 65 millions de couronnes en 2021 pour des manquements équivalents, et la cour d'appel de Borgarting a, dans cette affaire, confirmé la protection particulière des données révélant l'orientation sexuelle. Ces données relèvent des catégories particulières de l'article 9 du RGPD, dont l'une des exceptions est le consentement explicite de la personne.
Le point le plus utile pour un DPO est ailleurs. En qualifiant Xandr de responsable conjoint, Datatilsynet place chaque maillon de la chaîne devant sa propre obligation, dans le régime de l'article 26 du RGPD. La directrice de l'autorité, Line Coll, le résume ainsi : « responsibility for data protection cannot be passed on to others ». Chaque entreprise doit elle-même s'assurer, et pouvoir documenter, que son traitement est licite.
noyb inscrit la décision dans le débat sur le Digital Omnibus : selon l'association, la proposition de la Commission européenne ferait sortir les identifiants de suivi en ligne du champ du RGPD, et elle est en discussion au Parlement européen et au Conseil. Leto avait suivi les alertes d'EDRi sur le compromis du Conseil.
Ce que ça change pour les organisations
- Cartographier les flux entrants : pour chaque donnée reçue d'un partenaire, identifier qui a recueilli le consentement et sur quel périmètre.
- Requalifier les relations : un partenaire présenté comme simple fournisseur peut être un responsable conjoint, avec un accord à formaliser.
- Vérifier, pas présumer : prévoir dans les contrats un droit d'audit sur la preuve du consentement, et l'exercer sur un échantillon.
- Repérer les données sensibles indirectes : l'usage d'un service peut, à lui seul, révéler une catégorie particulière.
- Documenter dans le registre la base légale de chaque traitement, y compris quand elle repose sur un consentement recueilli par un tiers.
Ce que Leto en pense
La phrase de Line Coll vaut au-delà de l'adtech : une clause contractuelle qui renvoie le consentement au partenaire ne remplace pas une vérification. Pour un DPO, l'enjeu est de rendre cette vérification traçable, flux par flux, plutôt que de la découvrir lors d'un contrôle. C'est le travail quotidien que Leto aide à outiller, du registre aux contrats : demander une démo.
Sources
