Recherche · · 4 min de lecture
La Norvège sanctionne Xandr, de Microsoft, pour des données Grindr passées par des enchères publicitaires
L’autorité norvégienne de protection des données a imposé à Xandr une amende de 92 millions de couronnes, sa plus élevée à ce jour. L’affaire montre ce qu’une seule appli peut révéler.
Quand une application vous montre une publicité, il y a souvent une enchère derrière. En une fraction de seconde, des renseignements sur vous et sur l’appli que vous utilisez sont envoyés pour que des annonceurs puissent miser sur votre attention. Le 2 octobre 2026, l’autorité norvégienne de protection des données, Datatilsynet, a conclu qu’une entreprise qui gérait ces enchères dans l’application de rencontre Grindr avait enfreint le droit européen sur la vie privée, et lui a imposé une amende de 92 millions de couronnes norvégiennes, soit environ 8,6 millions d’euros.
Ce qu’a décidé l’autorité
L’entreprise est Xandr, autrefois AppNexus, qui fait aujourd’hui partie de Microsoft. Selon le résumé de la décision (en anglais) publié par le Comité européen de la protection des données, Xandr a traité des données personnelles d’utilisateurs de Grindr pendant les enchères en temps réel, à tout le moins le fait qu’une personne utilisait Grindr, son identifiant publicitaire et son adresse IP.
Comme Grindr est une application de rencontre destinée aux personnes gaies, bi, trans et queers, l’autorité a considéré que le simple fait de l’utiliser constitue une donnée sur l’orientation sexuelle. C’est une catégorie particulière au sens du RGPD, qui exige un consentement explicite. Xandr n’a pas demandé ce consentement elle-même. Elle s’est fiée à celui de Grindr, et l’autorité a jugé que le consentement obtenu par Grindr n’était pas valide.
La phrase clé de la décision : la responsabilité ne se sous-traite pas. Chaque entreprise qui traite les données doit vérifier par elle-même que le consentement est valide et couvre ce qu’elle fait. Datatilsynet a conclu que Xandr était responsable conjointe du traitement, des deux côtés de l’enchère, et que les manquements étaient au minimum le fruit d’une négligence et d’une grande gravité.
BleepingComputer rapporte (en anglais) que les faits se sont déroulés de juillet 2018 à avril 2020, que l’autorité a qualifié cette amende de plus élevée de son histoire et que sa directrice générale, Line Coll, a déclaré que des milliers d’utilisateurs en Norvège avaient vu leurs données sensibles partagées illégalement. Xandr avait trois semaines pour faire appel. Un porte-parole de Microsoft a dit à BleepingComputer que l’affaire portait sur des faits antérieurs à l’achat de Xandr par Microsoft, et que l’entreprise examinait la décision et évaluait ses options.
L’affaire a commencé en 2020 par une plainte du Conseil norvégien des consommateurs ; BleepingComputer rapporte que l’organisme de défense de la vie privée noyb l’a déposée avec le Conseil. Le diffuseur public norvégien NRK (en norvégien) ajoute deux détails : la politique de confidentialité de Grindr indiquait à l’époque qu’elle pouvait partager des renseignements avec jusqu’à 4 000 autres parties, et Xandr a supprimé ses journaux peu après que l’autorité l’a informée de l’enquête, ce que Xandr attribue à ses procédures habituelles. Grindr elle-même avait reçu une amende de 65 millions de couronnes de la même autorité en 2021.
Pourquoi ça vous concerne
La plupart des gens ne voient jamais les enchères publicitaires qui se déroulent dans leurs applis, et c’est pourquoi cette affaire compte. Le fait d’être dans une appli, à un endroit, à une heure donnée peut révéler à lui seul quelque chose de très personnel, sans que votre nom y soit attaché. Un identifiant publicitaire et une adresse IP peuvent servir à reconnaître le même appareil, encore et encore.
Les règles canadiennes diffèrent de celles de l’Europe, et cette décision ne s’applique pas ici. Mais les systèmes publicitaires sont en grande partie les mêmes partout dans le monde, alors la leçon voyage : moins votre téléphone distribue de données qui vous identifient, moins il y en a à faire circuler.
Ce que vous pouvez faire
- Limitez le suivi publicitaire sur votre téléphone. Sur un iPhone, allez dans Réglages › Confidentialité et sécurité › Suivi et désactivez « Autoriser les demandes de suivi ». Sur Android, vous pouvez supprimer votre identifiant publicitaire dans Paramètres › Confidentialité › Annonces (le chemin exact varie selon le téléphone).
- Révisez les autorisations de localisation. Les applis qui n’ont pas besoin de votre position précise ne devraient pas l’avoir, surtout les applis sensibles comme celles de rencontre, de santé ou religieuses. Choisissez « Lorsque l’app est active » ou « Jamais », et désactivez la position exacte quand c’est possible.
- Servez-vous de ce que la loi vous donne. Au Canada, vous pouvez demander à une entreprise quels renseignements personnels elle détient sur vous et à qui elle les communique. Notre explication du projet de loi C-36 présente ce que changerait la loi canadienne proposée sur la vie privée.
Sources
- Comité européen de la protection des données, Norwegian DPA fines Xandr EUR 8 600 000 for unlawful processing of personal data (en anglais), 16 octobre 2026
- BleepingComputer, Norway fines Microsoft ad firm $9.6 million over Grindr data sharing (en anglais), 12 octobre 2026
- NRK, Rekordgebyr til Microsoft-selskap (en norvégien), 12 octobre 2026
Les nouveaux articles, par courriel.
Environ une fois par mois. Des notes sur la vie privée en termes simples, rien d’autre. Je ne partage jamais votre adresse.