Données de Grindr diffusées aux enchères : 8,6 M€ d’amende pour Xandr

Une enchère le temps d’afficher une bannière

Le mécanisme en cause s’appelle l’enchère en temps réel (real-time bidding). Une application ou un site qui a un emplacement publicitaire à remplir transmet à une plateforme une « demande d’enchère », qui la relaie à des acheteurs d’espace ; ceux-ci proposent un prix pour montrer leur annonce à cette personne précise, et le plus offrant l’emporte. Le tout est automatique et dure « une fraction de seconde », résume Datatilsynet.

Le contenu de cette demande est normalisé par la spécification OpenRTB de l’IAB Tech Lab, l’organisme technique de la profession. Elle prévoit notamment l’identifiant publicitaire du téléphone « en clair », l’adresse IP, la position de l’appareil, « supposée être la position actuelle de l’utilisateur », l’identifiant de l’application dans sa boutique, l’année de naissance et le genre, deux champs présents dans les versions antérieures et que la version 2.6 déclare abandonnés. Un champ fixe en millisecondes le délai laissé aux acheteurs pour répondre. Comme la demande précède les offres, chaque acheteur sollicité la reçoit, qu’il emporte l’enchère ou non.

Xandr y jouait les deux rôles : selon l’autorité, elle était à la fois « offreur et acheteur ». Or l’information la plus sensible tenait au seul nom de l’application. « Être utilisateur de Grindr est une information qui, en soi, indique l’orientation sexuelle », écrit Datatilsynet. L’article 9 du RGPD interdit de traiter les données concernant « l’orientation sexuelle », sauf exceptions, dont le « consentement explicite » de la personne. Le règlement s’applique en Norvège, qui n’est pas membre de l’Union, depuis le 20 juillet 2018 au titre de l’Espace économique européen : la période retenue commence ce mois-là.

L’intermédiaire ne peut pas se défausser

Xandr s’est défendue en affirmant qu’elle croyait que Grindr avait recueilli le consentement des utilisateurs. L’autorité rejette l’argument : la société était « responsable conjointe du traitement » avec Grindr, c’est-à-dire qu’elle décidait avec elle de la manière d’utiliser ces données (article 26), et devait donc s’assurer elle-même d’avoir une base légale. « Xandr n’a pas vérifié si les consentements de Grindr étaient valables », a déclaré Line Coll, directrice de Datatilsynet. « Quand les entreprises se défaussent et se désignent les unes les autres, les droits des utilisateurs perdent en pratique toute valeur. »

Le montant tient compte de la durée des faits, près de deux ans, et du gain financier direct que Xandr en a tiré. Il est calculé sur le chiffre d’affaires de Xandr seule : la société n’appartenait pas encore à Microsoft à l’époque. La décision, datée du 2 octobre, apporte deux précisions, relevées aussi par le site spécialisé PPC Land : l’autorité ignore combien de demandes d’enchère liées à des utilisateurs de Grindr Xandr a reçues ou relayées, et la société n’a pu produire certains documents, supprimés entre juillet 2020 et février 2023 alors qu’elle se savait visée par l’enquête depuis le 21 février 2020. Datatilsynet parle seulement de « milliers d’utilisateurs en Norvège ».

Le raisonnement rejoint celui de la Cour de justice de l’Union européenne. Dans son arrêt IAB Europe du 7 mars 2024, elle a jugé que la chaîne de caractères qui transmet les choix de consentement d’un internaute aux acteurs de la publicité est une donnée personnelle, et que l’organisation professionnelle qui en fixe les règles peut être responsable conjointe de son traitement.

Six ans après la plainte

L’affaire remonte au rapport « Out of Control » du Conseil des consommateurs norvégien, publié le 14 janvier 2020 : dix applications populaires y transmettaient des données à « au moins 135 tiers » de la publicité ou du profilage. Le Conseil a déposé le même jour, avec noyb, des plaintes contre Grindr et cinq sociétés publicitaires, dont AppNexus, alors propriété de l’opérateur américain AT&T. Grindr a écopé dès décembre 2021 de 65 millions de couronnes pour avoir partagé, entre autres, la position GPS, l’adresse IP, l’identifiant publicitaire, l’âge et le genre de ses utilisateurs. La commission d’appel, le tribunal d’Oslo puis, le 21 octobre 2025, la cour d’appel de Borgarting ont confirmé la sanction. Les communiqués du 12 octobre ne disent rien du sort des quatre autres sociétés visées.

Microsoft étudie un recours

Xandr a trois semaines à compter de la réception de la décision pour la contester. Dans l’affaire Grindr, la contestation avait été transmise à la commission d’appel (Personvernnemnda), avant d’aller devant les tribunaux. Un porte-parole de Microsoft a indiqué à BleepingComputer que l’enquête portait sur des faits « antérieurs au rachat de Xandr par Microsoft », que les cadres juridiques et leur application « ont changé » depuis, et que le groupe « examine la décision et évalue ses options ».

Pour les plaignants, l’enjeu dépasse Xandr. « Les sociétés de technologie publicitaire agissent souvent en coulisses et doivent rarement rendre des comptes », relève Felix Mikolasch, juriste chez noyb. Finn Myrstad, directeur de la politique numérique du Conseil des consommateurs, y voit « un signal fort » pour toute entreprise « dont le modèle repose sur le pistage et le profilage des consommateurs ». Pour les utilisateurs concernés, l’amende ne fait pas revenir les données : « une fois les données sorties, il est difficile de savoir où elles finissent », reconnaît Line Coll.

Les citations en norvégien et en anglais ont été traduites par la rédaction.