Résumé

  • Dans sa décision du 2 octobre 2026, Datatilsynet a infligé à Xandr une amende de 92 millions de couronnes norvégiennes (8,6 millions d’euros) pour le traitement illicite de données d’utilisateurs de Grindr entre juillet 2018 et avril 2020.
  • L’autorité a qualifié Xandr de responsable conjoint du traitement des deux côtés de l’enchère et a estimé que l’entreprise devait vérifier elle-même la validité et la portée du consentement.

Le rôle d’intermédiaire n’efface pas le traitement

L’autorité norvégienne de protection des données, Datatilsynet, a imposé à Xandr Inc. ce qu’elle présente comme la plus lourde amende de son histoire. La décision, datée du 2 octobre 2026, concerne les enchères publicitaires en temps réel auxquelles participaient les données d’utilisateurs de Grindr en Norvège. Le montant atteint 92 millions de couronnes, soit environ 8,6 millions d’euros. Le Comité européen de la protection des données a relayé l’annonce comme une décision nationale le 16 octobre.

La procédure remonte à une plainte du Conseil norvégien des consommateurs en 2020. L’enquête porte sur la période du 20 juillet 2018 au 7 avril 2020. Datatilsynet a estimé que les requêtes d’enchère pouvaient contenir le fait qu’une personne utilisait Grindr, son identifiant publicitaire et son adresse IP. Selon l’autorité, l’usage de l’application révélait une orientation sexuelle et relevait donc des catégories particulières de données protégées par le RGPD.

Cette qualification déplace le débat. Une enchère automatisée peut sembler n’être qu’un échange technique entre une application, une plateforme d’offre, une plateforme de demande et des acheteurs. Pourtant, une donnée circule et sert à décider quelle publicité sera proposée. Le fait que l’utilisateur ne voie pas cette séquence ne la soustrait pas aux règles sur le traitement des données.

Chaque responsable doit vérifier sa propre base légale

Datatilsynet a conclu que Xandr intervenait à la fois comme plateforme côté offre et côté demande et qu’elle était responsable conjointe du traitement avec Grindr. L’autorité a retenu l’absence de base légale au titre de l’article 6, paragraphe 1, du RGPD et l’absence d’exception valable à l’interdiction de l’article 9. Le consentement explicite constituait la voie pertinente pour les données sensibles, mais Xandr s’était reposée sur celui recueilli par Grindr sans vérifier qu’il était valable et qu’il couvrait ses propres opérations.

Le raisonnement n’interdit pas en général les enchères publicitaires en temps réel. Il refuse plutôt qu’un participant transforme le consentement d’un autre en garantie transmissible. Pour l’autorité, la responsabilité ne peut être déléguée : un responsable conjoint doit vérifier que la base légale couvre son traitement. Une clause contractuelle peut répartir le travail, mais elle ne remplace pas cette vérification.

Datatilsynet indique que les données ont pu être relayées à des milliers d’entreprises. La réserve « potentiellement » est essentielle. La décision publique établit que Xandr a traité des données dans des requêtes d’enchère ; elle ne prouve pas que chaque destinataire possible les a reçues ou conservées. L’opacité du marché compte, mais elle ne justifie pas d’inventer un nombre de destinataires.

Deux décisions, deux acteurs

Datatilsynet avait déjà infligé à Grindr une amende distincte de 65 millions de couronnes en 2021 pour ses propres opérations de traitement et de divulgation. La décision de 2026 porte sur la place de Xandr dans le même environnement publicitaire historique. Il ne s’agit ni d’une seule sanction augmentée ni d’une répétition visant le même responsable : l’autorité examine si l’intermédiaire devait établir la base légale de son propre rôle.

Cette distinction importe aux équipes de conformité. Une application ne peut présumer que la présence d’une plateforme efface ses obligations. La plateforme, elle, ne peut présumer que le consentement affiché par l’application couvre chaque utilisation en aval. Les responsabilités peuvent se chevaucher, mais elles ne disparaissent pas dans le passage de relais.

Le montant suit la période et l’entité concernées

Microsoft a acquis Xandr en 2022, après la période examinée. Datatilsynet précise que le calcul de l’amende repose sur le chiffre d’affaires annuel de Xandr et non sur celui de Microsoft, puisque Xandr ne faisait pas partie du groupe durant les faits. Le montant est ainsi rattaché à l’entité et au moment visés par l’enquête.

Xandr peut faire appel dans les trois semaines suivant la réception de la décision. La publication ne donne pas la date de réception et ne permet donc pas de calculer l’échéance à partir du 2 octobre. Elle ne précise pas non plus si un recours a été déposé. La décision constitue la conclusion de l’autorité norvégienne, sous réserve de la voie de recours annoncée.

Une application du RGPD, pas une nouvelle règle

Le dossier applique des obligations existantes à des éléments précis d’un flux publicitaire ancien. Il ne conclut pas que toute plateforme d’enchères est automatiquement responsable conjointe, que toutes ces enchères sont illicites ou que Microsoft est responsable des actes de 2018 à 2020. La question centrale est celle du rôle réellement joué, des données disponibles et de l’usage propre à chaque acteur.

Daniel Kade propose qu’un reçu de vérification du consentement accompagne chaque acteur et chaque finalité : données traitées, rôle, version du consentement, portée communiquée aux destinataires, base légale invoquée et trace de la vérification indépendante. Il s’agit d’une proposition éditoriale, non d’une exigence de Datatilsynet. Elle rendrait le transfert de responsabilité vérifiable avant l’enchère plutôt qu’après une plainte.

Le dossier public ne permet pas de conclure sur les pratiques actuelles de Xandr ou de Microsoft : les faits examinés s’arrêtent en avril 2020. Il ne recense pas tous les destinataires et ne tranche pas un éventuel recours. Il établit toutefois qu’une requête technique invisible peut constituer un acte de gouvernance : l’obligation suit le rôle dans le traitement, même lorsque l’écran de consentement appartient à un autre.

Sources