// CLUBIC — MOBILE & WEB
Cette filiale de Microsoft vient d'être condamnée à une amende de 8,5 millions d'euros
La Norvège sanctionne Xandr pour avoir relayé sans base légale des données d'utilisateurs de Grindr, et notamment leur orientation sexuelle. Le régulateur refuse que la régie publicitaire se défausse sur l'application.
L'amende atteint 92 millions de couronnes norvégiennes, soit environ 8,6 millions d'euros. Aucune sanction de la Datatilsynet, l’autorité norvégienne de protection des données, n'avait atteint ce niveau.
Xandr servait d'intermédiaire dans les enchères publicitaires en temps réel (real-time bidding). Cette société de publicité en ligne est aujourd’hui une filiale de Microsoft. Le mécanisme est rapide. Quand une application a de la place pour une annonce, elle transmet des informations sur son utilisateur à des plateformes. Les annonceurs surenchérissent alors en une fraction de seconde pour afficher leur publicité. Xandr y participait côté offre comme côté achat. Avec Grindr, les données ont pu atteindre des milliers de sociétés, à l'insu des utilisateurs.
Ces données sont sensibles. Grindr s'adresse aux hommes gays et bisexuels, aux personnes trans et queer. Rien que le fait d'utiliser l'application laisse deviner une orientation sexuelle, une information que le RGPD protège davantage. La justice norvégienne l'a confirmé dans le dossier visant Grindr, sanctionné de 65 millions de couronnes (environ 5,7 millions d'euros). Nous rapportions déjà le partage de ces données avec des régies, localisation précise comprise, lorsqu'une amende de 11,7 millions de dollars avait été annoncée contre l'application.
Pour traiter de telles données, il fallait un consentement explicite. Xandr a supposé que Grindr l'avait obtenu. Elle n'a donc rien vérifié et n'a prévu aucune base légale pour son propre traitement. La Datatilsynet la juge alors coresponsable avec l'application. Sa directrice, Line Coll, rappelle que chaque société doit pouvoir prouver qu'elle avait le droit d'utiliser ces informations. Selon elle, quand tout le monde se renvoie la balle, les droits des utilisateurs deviennent "sans valeur en pratique". Elle insiste aussi sur le fait qu'une fois diffusées, ces données échappent à la personne concernée et peuvent être croisées avec d'autres pour dresser un portrait détaillé de sa vie.
Les faits courent de juillet 2018 à avril 2020. Cette durée a aggravé la sanction, tout comme le profit que Xandr a tiré de ces données. L'amende se base sur son seul chiffre d'affaires. Celui de Microsoft n'entre pas en compte, car Xandr n'en faisait pas encore partie à l'époque. Le rachat à AT&T s'est finalisé en juin 2022. La décision n'est pas définitive, Xandr dispose de trois semaines pour la contester. Si la Norvège est hors de l'Union européenne, le RGPD s'y applique quand même depuis juillet 2018 via l'Espace économique européen.