Xandr reçoit une amende record de 8,6 M€

La Norvège vise le cœur de l’ad-tech

L’autorité norvégienne de protection des données a infligé à Xandr une amende de 92 millions de couronnes norvégiennes, soit 8,6 millions d’euros selon le régulateur, pour traitement et partage illicites de données personnelles sensibles issues de Grindr [1]. Datatilsynet présente cette sanction comme la plus élevée jamais prononcée par l’autorité norvégienne, ce qui donne à l’affaire une portée qui dépasse le seul dossier Grindr [1].

Le reproche central est que Xandr, société de technologie publicitaire désormais détenue par Microsoft, a servi d’intermédiaire dans des enchères publicitaires en temps réel et relayé des données personnelles d’utilisateurs norvégiens de Grindr, y compris des informations révélant leur orientation sexuelle, vers potentiellement des milliers d’entreprises [1]. Pour le régulateur, le simple fait d’être utilisateur de Grindr constitue une information indiquant l’orientation sexuelle et bénéficie donc de la protection renforcée accordée par le RGPD aux données sensibles [1].

L’affaire est importante parce qu’elle ne vise pas seulement l’application visible par le consommateur. Xandr n’exploitait pas Grindr, mais participait à l’infrastructure publicitaire qui monétisait l’attention des utilisateurs. La décision norvégienne affirme donc qu’un intermédiaire ad-tech ne peut pas se contenter de supposer qu’un autre acteur de la chaîne a recueilli un consentement valable [1].

Ce que le régulateur reproche à Xandr

Le dossier remonte à 2020, lorsque le Conseil norvégien des consommateurs a saisi Datatilsynet au sujet de Xandr, alors lié au nom AppNexus et aujourd’hui intégré à Microsoft [1]. Cette plainte s’inscrivait dans une enquête plus large sur la façon dont des applications mobiles transmettaient des données personnelles à des partenaires publicitaires pour alimenter la publicité fondée sur le suivi [2].

Selon l’autorité, Xandr participait aux enchères publicitaires en temps réel à la fois côté acheteur et côté vendeur [1]. Lorsqu’une personne ouvrait Grindr, ses données pouvaient être relayées via Xandr vers de nombreux acteurs de l’écosystème publicitaire, qui entraient ensuite en concurrence pour afficher une publicité ciblée [1].

Le fonctionnement technique est rapide, automatisé et largement invisible. Les enchères en temps réel permettent à des sites ou applications disposant d’espaces publicitaires d’envoyer des données sur les utilisateurs à des plateformes publicitaires, afin que différents annonceurs puissent enchérir en une fraction de seconde [1]. Dans ce dossier, le problème n’était pas seulement l’existence de publicités personnalisées, mais la circulation de données liées à un contexte particulièrement sensible sans base juridique valable [1].

Xandr a soutenu, selon le résumé du régulateur, qu’elle pensait que Grindr avait obtenu le consentement des utilisateurs [1]. Datatilsynet a rejeté cet argument, en rappelant que chaque entreprise doit elle-même s’assurer et être capable de documenter que son traitement de données est licite [1].

Pourquoi les données Grindr sont sensibles

Le point juridique décisif tient à la nature même de l’information transmise. Pour l’autorité norvégienne, l’utilisation de Grindr révèle ou indique l’orientation sexuelle d’une personne [1]. Or le RGPD protège spécialement les données concernant l’orientation sexuelle, qui ne peuvent en principe être traitées que si une exception s’applique, notamment un consentement explicite [1].

Datatilsynet a conclu qu’un consentement explicite était nécessaire et que Xandr n’avait pas pris les mesures requises pour vérifier qu’un tel consentement existait [1]. Le régulateur a également considéré que Xandr était responsable conjoint du traitement avec Grindr, ce qui signifie qu’elle avait ses propres obligations et ne pouvait pas se présenter comme un simple rouage technique [1].

Cette lecture est lourde de conséquences pour l’ad-tech. De nombreux intermédiaires sont éloignés de l’interface utilisateur, des écrans de consentement et de la relation directe avec la personne concernée. La décision norvégienne indique que cette distance ne supprime pas la responsabilité lorsqu’une entreprise reçoit, transmet, enrichit ou exploite des données personnelles pour déterminer l’affichage de publicités [1].

Le Conseil norvégien des consommateurs a présenté l’amende comme une décision majeure issue de son action engagée en 2020 avec noyb, soulignant que Xandr fait désormais partie de Microsoft Advertising et que le dossier envoie un signal aux entreprises dont le modèle économique repose sur le suivi et le profilage des consommateurs [2]. Noyb a aussi décrit la sanction comme un coup porté à l’industrie de la publicité en ligne et de la surveillance commerciale, estimant que les sociétés ad-tech opèrent souvent en arrière-plan tout en accumulant et partageant de vastes volumes de données [3].

Un risque hérité pour Microsoft

La sanction touche aujourd’hui un actif détenu par Microsoft, mais le régulateur n’a pas calculé l’amende sur le chiffre d’affaires global de Microsoft [1]. Datatilsynet indique que les infractions se sont déroulées de juillet 2018 à avril 2020, avant que Xandr ne fasse partie de Microsoft, et que le montant a donc été établi sur la base du chiffre d’affaires propre de Xandr [1].

Cette distinction limite l’exposition financière immédiate de Microsoft, mais elle n’efface pas le problème de gouvernance. Microsoft a acquis Xandr ultérieurement, et l’activité publicitaire intégrée à son écosystème porte désormais l’empreinte d’une décision de confidentialité très visible [1]. Reuters a rapporté que Microsoft a déclaré que les faits étaient antérieurs à son acquisition et que l’entreprise examinait la décision ainsi que ses options [5].

Pour les grandes entreprises technologiques, le message dépasse largement ce cas particulier. Le risque vie privée peut survivre à une acquisition, surtout lorsqu’une cible dépend de flux de données, de registres de consentement, de journaux d’enchères et de relations avec une multitude de partenaires publicitaires. Une due diligence dans l’ad-tech ne peut pas se limiter aux revenus, à l’inventaire publicitaire et aux contrats commerciaux; elle doit aussi tester la solidité des consentements historiques et des preuves de conformité.

Le dossier pose également une question opérationnelle: quelles preuves reste-t-il lorsqu’un régulateur demande comment le consentement a été obtenu et vérifié? Un compte rendu de la décision a relevé que le dossier abordait l’incapacité de Xandr à produire certains documents après leur suppression au titre de politiques de conservation, alors que l’enquête avait déjà commencé [6]. Pour les entreprises manipulant des données sensibles, la leçon est nette: une politique de suppression ne remplace pas l’obligation de prouver la conformité.

Un précédent pour la publicité comportementale

La sanction de Xandr s’inscrit dans la continuité du dossier visant Grindr lui-même. Le régulateur norvégien rappelle que Grindr avait déjà reçu une amende de 65 millions de couronnes pour des violations équivalentes et que la cour d’appel de Borgarting avait également reconnu la protection particulière de ces données [1]. La nouveauté tient à l’extension de la responsabilité à un intermédiaire de la chaîne publicitaire.

C’est ce précédent que les entreprises ad-tech doivent étudier. Lorsqu’une application, un éditeur ou une plateforme fait entrer des données sensibles dans un environnement d’enchères, les acteurs intermédiaires ou en aval ne peuvent pas se réfugier derrière des hypothèses contractuelles. Le régulateur exige que chaque participant soit capable de démontrer sa propre base juridique [1].

Le montant est également symbolique. 92 millions de couronnes ne constituent pas un record à l’échelle de toutes les sanctions RGPD européennes, mais il s’agit de la plus forte amende jamais prononcée par l’autorité norvégienne [1]. Surtout, elle frappe une entreprise de technologie publicitaire pour son rôle dans une chaîne de diffusion de données, et non uniquement le service avec lequel l’utilisateur interagit directement [1].

BleepingComputer a rapporté que les enchères en temps réel pouvaient exposer des informations sensibles d’utilisateurs de Grindr à des milliers d’entreprises et que Xandr agissait comme intermédiaire dans ce mécanisme [4]. The Hacker News a également indiqué que les infractions avaient eu lieu entre juillet 2018 et avril 2020 et que Xandr disposait de trois semaines pour faire appel [6].

La leçon de conformité

La principale leçon est que « nous pensions que l’application avait le consentement » n’est pas une stratégie de conformité suffisante. Lorsque des données sensibles sont en jeu, les entreprises de la chaîne publicitaire doivent disposer de preuves montrant que le consentement est explicite, valable, documenté et adapté à leur propre traitement [1].

La deuxième leçon concerne l’architecture même de la publicité programmatique. Datatilsynet insiste sur l’opacité de l’écosystème publicitaire et sur le risque que les droits des utilisateurs deviennent théoriques lorsque les entreprises se renvoient la responsabilité [1]. Les organisations de consommateurs et de défense de la vie privée utilisent déjà cette décision pour soutenir que la publicité fondée sur la surveillance reste difficile à concilier avec un consentement réellement éclairé [2][3].

Pour Microsoft, l’amende est supportable financièrement, mais embarrassante en termes d’image. Pour Xandr et les plateformes ad-tech similaires, elle montre que les régulateurs peuvent suivre les données sensibles bien au-delà de l’écran de l’application, jusque dans les tuyaux qui rendent possible la publicité comportementale. L’amende record de 8,6 millions d’euros n’est donc pas seulement une affaire Grindr ou norvégienne: c’est un test de responsabilité pour toute l’infrastructure publicitaire invisible.

Sources des dernières 72 heures

1. [1]Microsoft company fined NOK 92 million12 oct. 2026, 02:00
2. [2]Microsoft company fined 8,5 million euros following complaint by the Norwegian Consumer Council and noyb12 oct. 2026, 02:00
3. [3]Privacy win: Norwegian Authority fines Microsoft’s Xandr € 8.5 Million12 oct. 2026, 02:00
4. [4]Norway fines Microsoft ad firm $9.6 million over Grindr data sharing12 oct. 2026, 22:13
5. [5]Norway fines Microsoft's Xandr $9.6 million over Grindr data sharing12 oct. 2026, 02:00
6. [6]Xandr Fined a Record €8.6 Million for Relaying Grindr Data Revealing Sexual Orientation13 oct. 2026, 02:00

Article généré par IA à partir d’une recherche web récente, puis conservé comme instantané éditorial daté.