L'amende Xandr de 8,6 millions d'euros, infligée par la Norvège, sanctionne le partage illégal de données d'utilisateurs Grindr.

L’autorité norvégienne de protection des données (DPA) frappe fort. Elle a infligé une amende de 8,6 millions d’euros (9,62 millions de dollars) à Xandr, la branche publicitaire de Microsoft. Cette amende Xandr sanctionne la transmission illégale de données sensibles d’utilisateurs de Grindr à des annonceurs.

Il s’agit de la sanction la plus lourde jamais prononcée par ce régulateur. Par ailleurs, le dossier touche à un sujet délicat : la vie privée des personnes et leur orientation sexuelle.

Une amende Xandr record pour l’autorité norvégienne

Le montant n’a rien d’anodin. En effet, l’autorité norvégienne n’avait jamais prononcé de pénalité administrative aussi élevée. Elle justifie ce niveau par la gravité des faits, qu’elle juge « très sérieux ».

Xandr est une filiale publicitaire de Microsoft. Son rôle consiste à mettre en relation des éditeurs et des annonceurs. Ainsi, elle a relayé des informations issues de l’application de rencontres Grindr vers des acteurs de la publicité.

Les informations disponibles restent toutefois limitées. Elles ne détaillent pas ici l’ensemble des manquements reprochés. Il faut donc s’en tenir à ce qui est établi : la transmission était illégale et elle portait sur des données sensibles.

Des données Grindr particulièrement sensibles

Grindr est une application de rencontres destinée notamment aux personnes homosexuelles, bisexuelles et trans. Le simple fait d’utiliser ce service peut donc en dire long sur un individu. Autrement dit, une donnée en apparence banale devient un indice sur l’orientation sexuelle.

Cette information est particulièrement risquée si elle circule dans la chaîne publicitaire. En effet, plusieurs intermédiaires peuvent y accéder, la stocker ou la recouper avec d’autres bases. Par conséquent, l’utilisateur perd toute maîtrise de ses informations.

Les risques sont concrets :

• une exposition involontaire de la vie intime ;
• des discriminations, notamment dans les pays hostiles aux minorités sexuelles ;
• du chantage ou du harcèlement ;
• un profilage publicitaire très intrusif.

Par ailleurs, l’autorité norvégienne s’était déjà penchée sur Grindr. L’application avait elle-même été sanctionnée pour des pratiques de partage de données. Le dossier Xandr prolonge donc une attention réglementaire déjà ancienne sur cet écosystème.

Pourquoi le RGPD protège ces informations

En Europe, le RGPD classe les données relatives à la vie sexuelle ou à l’orientation sexuelle parmi les catégories particulières. Leur traitement est en principe interdit. Des exceptions existent toutefois. Elles sont strictement encadrées.

Le plus souvent, il faut un consentement explicite, libre et éclairé. De plus, l’utilisateur doit pouvoir comprendre à quoi il consent. Une case cochée dans un bandeau opaque ne suffit pas.

Le règlement prévoit aussi des amendes dissuasives. Elles peuvent atteindre 20 millions d’euros ou 4 % du chiffre d’affaires mondial annuel, selon le montant le plus élevé. Ainsi, ce plafond explique pourquoi les régulateurs peuvent viser de grands groupes sans que la sanction soit symbolique.

Les conséquences de l’amende Xandr pour la publicité ciblée

Cette décision envoie un message clair à toute la filière de la publicité en ligne. En effet, un acteur ne peut pas se contenter de recevoir des données et de les traiter. Il ne peut pas supposer que tout est en règle en amont. Il doit aussi vérifier la base légale de ce qu’il reçoit.

La responsabilité ne pèse donc pas uniquement sur l’application d’origine. Les intermédiaires techniques, les plateformes d’enchères et les régies sont également concernés. En outre, l’appartenance à un géant comme Microsoft n’offre aucune immunité.

Cette affaire rappelle enfin une réalité du secteur. La publicité programmatique repose sur des échanges de données très rapides et très nombreux. Pourtant, ces flux sont souvent peu visibles pour les utilisateurs. Les régulateurs européens semblent déterminés à y remettre de la transparence.

À ce stade, il reste à savoir si Xandr ou Microsoft contesteront la décision. Les voies de recours existent. Néanmoins, le niveau de l’amende montre que l’autorité norvégienne entend traiter ces dossiers avec fermeté.

Ce qu’il faut retenir

• L’autorité norvégienne de protection des données a infligé 8,6 millions d’euros (9,62 millions de dollars) à Xandr, filiale publicitaire de Microsoft.
• C’est la plus forte amende jamais prononcée par ce régulateur.
• Les faits reprochés : la transmission illégale de données sensibles d’utilisateurs de Grindr à des annonceurs.
• L’autorité qualifie la violation de « très sérieuse », ce qui justifie le montant.
• Les entreprises de la publicité doivent contrôler la légalité des données qu’elles reçoivent, surtout lorsqu’elles révèlent l’orientation sexuelle.
• Les utilisateurs devraient vérifier les permissions publicitaires de leurs applications et refuser le suivi lorsque c’est possible.

Source : Xandr Fined a Record €8.6 Million for Relaying Grindr Data Revealing Sexual Orientation