L’autorité norvégienne de protection des données a sanctionné Xandr, la division de technologies publicitaires détenue aujourd’hui par Microsoft, d’une amende de 92 millions de couronnes, soit 9,61 millions de dollars. La décision porte sur la diffusion de données sensibles d’utilisateurs de Grindr dans le cadre d’enchères publicitaires automatisées entre juillet 2018 et avril 2020.
Selon le régulateur, les informations transmises pouvaient révéler l’orientation sexuelle des utilisateurs de l’application de rencontres destinée aux personnes LGBTQIA+. Elles auraient été accessibles à des milliers d’annonceurs participant aux mécanismes de publicité programmatique. L’amende est la plus importante jamais imposée par cette autorité norvégienne.
La portée de la décision dépasse son montant. Le régulateur vise ici un intermédiaire publicitaire et affirme que les entreprises qui monétisent les données personnelles ne peuvent pas transférer toute la responsabilité au fournisseur initial. Xandr a indiqué avoir supposé que Grindr avait recueilli le consentement des utilisateurs, sans le vérifier. Cet argument a été rejeté, l’autorité estimant que les deux sociétés partageaient la responsabilité juridique.
Grindr avait déjà reçu en 2021 une amende de 65 millions de couronnes pour les mêmes faits. La sanction de Xandr a été calculée sur son propre chiffre d’affaires, et non sur celui de Microsoft, qui ne possédait pas encore l’entreprise au moment des pratiques examinées. Xandr dispose de trois semaines pour faire appel.
Microsoft affirme que la confidentialité constitue une priorité et rappelle que les faits sont antérieurs à son acquisition de Xandr. Le groupe examine la décision et les options disponibles. Pour les investisseurs, le risque financier immédiat paraît limité au regard de la taille de Microsoft. Le précédent réglementaire est plus significatif : les acteurs de la publicité numérique devront démontrer qu’ils vérifient effectivement le consentement et la licéité des données qu’ils traitent, au lieu de s’appuyer uniquement sur les déclarations de leurs partenaires.
