RGPD : la Norvège inflige 8,6 millions d'euros à Xandr (Microsoft) dans l'affaire Grindr

L'autorité norvégienne de protection des données, la Datatilsynet, a annoncé le 12 octobre 2026 une amende de 92 millions de couronnes norvégiennes (environ 8,6 millions d'euros selon l'autorité) contre Xandr. Cette société de technologie publicitaire, anciennement AppNexus, a été rachetée par Microsoft en 2022. C'est la plus forte amende jamais prononcée par l'autorité norvégienne.

Des données sur l'orientation sexuelle dans les enchères publicitaires

Entre juillet 2018 et avril 2020, Xandr a reçu et transmis des données personnelles d'utilisateurs norvégiens de Grindr, une application de rencontre surtout utilisée par la communauté LGBTQ+. Ces données passaient par le système d'enchères en temps réel (real-time bidding), qui attribue chaque espace publicitaire en quelques millisecondes. Le simple fait d'utiliser Grindr révèle l'orientation sexuelle, une catégorie de données que le règlement général sur la protection des données (RGPD) protège tout particulièrement.

Pour l'autorité, Xandr était responsable conjoint du traitement avec Grindr. Elle aurait donc dû s'assurer d'un consentement explicite des utilisateurs. Xandr soutenait qu'elle pensait que Grindr avait recueilli ce consentement et que ses contrats interdisaient à ses clients de lui envoyer ce type de données. La Datatilsynet a rejeté ces arguments. « La responsabilité de la protection des données ne peut pas être reportée sur d'autres », a déclaré sa directrice, Line Coll.

Pour fixer le montant, l'autorité a tenu compte de la gravité des manquements, de leur durée, de l'avantage financier tiré du partage des données et du chiffre d'affaires propre de Xandr, et non de celui de Microsoft.

Une procédure lancée en 2020

L'affaire remonte à des plaintes déposées en janvier 2020 par le Conseil norvégien des consommateurs (Forbrukerrådet) et l'association autrichienne noyb. Elles visaient Grindr et plusieurs intermédiaires publicitaires. Grindr avait elle-même été condamnée en 2021 à 65 millions de couronnes pour les mêmes faits. Felix Mikolasch, juriste chez noyb, voit dans la décision un précédent utile pour d'autres affaires.

Interrogé par BleepingComputer, un porte-parole de Microsoft fait valoir que les faits sont antérieurs au rachat de Xandr et que le cadre juridique a évolué depuis. Il précise que l'entreprise étudie la décision et ses options. Xandr dispose de trois semaines pour faire appel.

Ce qu'il faut en retenir

• Un intermédiaire technique ne peut pas se décharger sur son client : s'il exploite des données, il doit vérifier lui-même qu'il a une base légale.
• Les entreprises qui intègrent des SDK publicitaires dans leurs applications doivent savoir quelles données ces SDK transmettent, et à qui.
• Les données qui révèlent indirectement une information sensible (santé, orientation sexuelle, religion) sont traitées comme des données sensibles.