La Norvège inflige une amende de 9,6 millions de dollars à Xandr de Microsoft pour le partage de données de Grindr

Le régulateur norvégien de la protection des données a infligé à Xandr, bras publicitaire de Microsoft, une amende de 92 millions de couronnes (9,6 millions de dollars) pour avoir partagé des données sensibles des utilisateurs de Grindr avec des annonceurs sans base légale. Cette sanction sera la plus lourde jamais imposée par l'agence à une entreprise.

Le Datatilsynet, l'autorité norvégienne à l'origine de la décision, a affirmé que les données concernées contenaient des informations susceptibles de révéler l'orientation sexuelle des utilisateurs. La décision finale clôt une affaire qui était en cours en Norvège depuis plus de six ans.

Comment les données de Grindr sont tombées entre les mains de milliers d'enchérisseurs

L'affaire concerne le real-time bidding (enchères en temps réel), un processus qui vend des espaces publicitaires en quelques millisecondes lorsque l'utilisateur ouvre une application. Lorsqu'une personne lançait l'application Grindr en Norvège, ses données personnelles étaient transmises via Xandr et potentiellement partagées avec des milliers d'entreprises et de sociétés du secteur de la publicité, selon le Datatilsynet. Ces entreprises se disputaient ensuite pour proposer des publicités ciblées à l'utilisateur.

Étant donné que Grindr s'adresse aux utilisateurs gays, bisexuels, transgenres et queer, le régulateur a estimé que l'utilisation de l'application suffisait à elle seule à révéler l'orientation sexuelle d'une personne. Conformément au règlement européen sur la protection des données, cela classe ces informations comme des données sensibles nécessitant un consentement explicite pour leur traitement.

L'autorité norvégienne a estimé que Xandr n'avait pas obtenu le consentement requis. Elle a également jugé que l'entreprise partageait la responsabilité du traitement des données avec Grindr, au lieu de se limiter à un rôle d'intermédiaire. Le bénéfice financier direct tiré par Xandr de ce partage de données a constitué un autre facteur clé dans l'évaluation de l'ampleur des amendes.

Accuser l'application ne tenait pas la route

Xandr a fait valoir qu'il partait du principe que Grindr avait déjà recueilli un consentement valide auprès de ses utilisateurs, argument rejeté par le régulateur.

« La responsabilité en matière de protection des données ne peut être déléguée à autrui », a déclaré Line Coll, directrice générale de Datatilsynet, dans le communiqué de l'autorité, tel rapporté par Tech Xplore. La directrice a affirmé que chaque entreprise doit garantir indépendamment et pouvoir démontrer qu'elle dispose d'une base légale pour utiliser les données qu'elle acquiert.

Coll a indiqué que les violations étaient particulièrement graves, soulignant que les données personnelles sensibles de milliers d'utilisateurs norvégiens avaient été partagées illégalement. Ce partage de données a eu lieu entre juillet 2018 et avril 2020, avant l'acquisition de l'entreprise par Microsoft, alors connue sous le nom d'AppNexus, a rapporté PPC Land. Xandr dispose désormais de trois semaines pour contester cette décision en appel.

La décision norvégienne fait suite à une affaire similaire en France plus tôt en 2026, où le Conseil d'État a confirmé une amende de 40 millions d'euros infligée à la société de retargeting Criteo, rejetant son argument selon lequel les sites web partenaires étaient responsables de la collecte du consentement. Ces deux décisions montrent clairement que les entreprises restent responsables de la protection des données et ne peuvent pas s'appuyer sur leurs partenaires pour recueillir le consentement des utilisateurs.

Une plainte initiée depuis 2020 en Norvège

La plainte a été déposée en 2020 par le Norwegian Consumer Council et le groupe de défense des droits numériques noyb concernant les pratiques de partage de données de Grindr. Il s'agissait de l'une des trois plaintes déposées cette année-là, visant à la fois la gestion des données utilisateur par l'application et les sociétés d'adtech qui les recevaient.

Felix Mikolasch, avocat en protection des données chez noyb, a indiqué que cette décision pourrait contraindre les entreprises de la publicité technologique comme Xandr à faire preuve d'une plus grande responsabilité, leurs opérations étant souvent largement invisibles et imperceptibles au public. Il a qualifié cette décision de précédent important pour des affaires similaires, dans un communiqué du groupe.

Finn Myrstad, directeur de la politique numérique au Conseil norvégien des consommateurs, a déclaré que cette décision met en garde les entreprises qui dépendent du suivi des utilisateurs. La dernière décision intervient après qu'Grindr ait fait face à une amende similaire en Norvège. En 2025, les tribunaux du pays ont confirmé une amende de 65 millions de couronnes infligée à l'application pour avoir partagé illégalement des informations personnelles sensibles des utilisateurs.

The fine targets a company that is valued at around $3.97 trillion, according to GuruFocus. However, noyb has also warned that the precedent could lose its intended effect if the European Commission’s proposed Digital Omnibus weakens how the GDPR treats online tracking IDs. This proposal is currently under consideration by the European Parliament and Council.