La Norvège vient de durement frapper l’écosystème de la publicité ciblée. Datatilsynet, l’autorité norvégienne de protection des données, a infligé une amende de 92 millions de couronnes norvégiennes, soit environ 8,6 millions d’euros, à Xandr. Cette entreprise de technologies publicitaires, rachetée par Microsoft en 2022, est sanctionnée pour avoir traité des données sensibles provenant d’utilisateurs de Grindr sans consentement valable.
Des données potentiellement accessibles à des milliers d’annonceurs
Entre juillet 2018 et avril 2020, Xandr participait aux enchères publicitaires automatisées utilisées par Grindr. Selon le régulateur, des informations permettant notamment de déduire l’orientation sexuelle des utilisateurs pouvaient alors circuler auprès de très nombreux acteurs de l’écosystème publicitaire.
De son côté, Xandr affirme avoir considéré que Grindr avait déjà obtenu le consentement nécessaire, un argument rejeté par Datatilsynet : « La responsabilité en matière de protection des données ne peut pas être déléguée à d’autres. » Cette position rappelle le bras de fer engagé par la Norvège contre Meta sur la publicité comportementale.
Microsoft n’était pas propriétaire de Xandr au moment des faits
L’autorité a calculé l’amende à partir du chiffre d’affaires propre à Xandr, Microsoft n’ayant acquis la société qu’après la période concernée. Le groupe américain souligne d’ailleurs que l’enquête vise des pratiques antérieures au rachat et indique examiner actuellement ses possibilités de recours.
La décision prolonge une affaire ouverte en 2020 après une plainte du Conseil norvégien des consommateurs. Grindr avait déjà été condamné à 65 millions de couronnes pour les mêmes pratiques. Le dossier s’inscrit dans une surveillance européenne toujours plus sévère des traitements publicitaires, comme l’illustrent aussi les sanctions liées au ciblage sans consentement valable.
Au-delà du montant record pour Datatilsynet, cette décision envoie aussi un avertissement clair aux intermédiaires publicitaires : recevoir des données d’un partenaire ne dispense pas de vérifier que ces mêmes données peuvent être exploitées en toute légalité.
