Norvège : amende record contre Xandr, filiale de Microsoft

L'autorité norvégienne de protection des données, Datatilsynet, a annoncé lundi une amende record contre Xandr, société de publicité en ligne détenue par Microsoft. Le montant s'élève à 92 millions de couronnes norvégiennes, soit environ 8,6 millions d'euros selon l'autorité. C'est la sanction la plus lourde jamais prononcée par Datatilsynet.

En cause : le partage de données d'utilisateurs de l'application de rencontre Grindr, dont des informations pouvant révéler leur orientation sexuelle, sans base légale valable au regard du RGPD. Des milliers d'utilisateurs norvégiens sont concernés, selon le communiqué de l'autorité.

Des données diffusées à des milliers d'annonceurs

Xandr est accusé d'avoir traité puis retransmis des données d'utilisateurs de Grindr vers un système d'enchères publicitaires en temps réel, le « real-time bidding ». Dans ce mécanisme, les informations ont pu être communiquées à potentiellement des milliers d'entreprises afin de permettre l'affichage de publicités ciblées, selon Le Figaro.

Concrètement, au moins le fait qu'une personne utilisait Grindr, son identifiant publicitaire et son adresse IP ont pu être relayés à chaque ouverture de l'application, rapporte le site spécialisé ppc.land, qui a consulté la décision complète de 54 pages. Datatilsynet a jugé « prouvé par forte prépondérance de probabilité » ce mode de diffusion.

Pour sa défense, Xandr a expliqué avoir cru que Grindr avait préalablement recueilli le consentement de ses utilisateurs, et a tenté de reporter la responsabilité sur l'application. L'autorité norvégienne a rejeté cet argument. « L'Autorité norvégienne de protection des données ne considère pas qu'il soit acceptable que les parties concernées se renvoient simplement la responsabilité les unes aux autres », explique-t-elle dans sa décision, citée par NextINpact.

Un dossier qui remonte à 2018, Grindr déjà sanctionné

Les infractions reprochées à Xandr se sont étalées de juillet 2018, date d'application du RGPD en Norvège, à avril 2020, lorsque Grindr a modifié son mécanisme de consentement. Cette durée a été retenue comme circonstance aggravante, tout comme le bénéfice financier que Xandr aurait tiré de ces transactions publicitaires.

L'affaire avait débuté en 2020 après une plainte du Conseil norvégien des consommateurs (Forbrukerrådet) et de l'ONG de défense de la vie privée Noyb, déposée contre Grindr et plusieurs entreprises de publicité en ligne, dont Xandr, alors appelée AppNexus. La société n'appartenait pas encore à Microsoft au moment des faits : le groupe américain a racheté Xandr à AT&T fin 2021, pour une transaction finalisée en juin 2022. Le montant de l'amende a donc été calculé sur le seul chiffre d'affaires de Xandr à l'époque des faits, et non sur celui de Microsoft.

Grindr avait déjà été condamnée pour les mêmes pratiques. En 2025, la justice norvégienne avait confirmé définitivement une amende, record elle aussi au moment des faits, de 65 millions de couronnes infligée par Datatilsynet à l'application de rencontre.

Trois semaines pour faire appel

Xandr dispose de trois semaines à compter de la réception de la décision pour la contester, précise Datatilsynet. Microsoft a indiqué que les faits reprochés étaient antérieurs à son acquisition de Xandr et que le groupe examinait la décision, selon MLex.

« L'Autorité norvégienne de protection des données ne considère pas qu'il soit acceptable que les parties concernées se renvoient simplement la responsabilité les unes aux autres », Datatilsynet, Autorité norvégienne de protection des données.

L'affaire conforte la position de l'association noyb, partie prenante depuis la plainte initiale de 2020. Son avocat Felix Mikolasch y voit un signal envoyé à l'ensemble du secteur de la publicité en ligne, où les intermédiaires techniques échappent généralement à tout examen public de leurs pratiques.

« Nous nous réjouissons vivement de cette décision. Les entreprises spécialisées dans les technologies publicitaires en ligne, telles que Xandr, opèrent souvent en coulisses et sont rarement tenues de rendre des comptes sur leurs pratiques. Cela crée un précédent précieux pour des affaires similaires », Felix Mikolasch, avocat de l'association noyb.

Datatilsynet a par ailleurs relevé, selon ppc.land, que Xandr avait supprimé une partie de sa documentation sur le traitement des données de Grindr alors qu'elle savait faire l'objet d'une enquête, un élément retenu dans le raisonnement de la décision publiée le 12 octobre.