L'autorité norvégienne de protection des données a infligé une amende de 8 600 000 euros à la société de technologie publicitaire Xandr Inc. pour avoir traité illicitement des données personnelles d'utilisateurs de Grindr lors d'enchères en temps réel, selon un résumé publié par le Comité européen de la protection des données. Xandr était connue sous le nom d'AppNexus au début de l'affaire et fait maintenant partie de Microsoft.

La décision repose sur deux dispositions du RGPD : l'article 6 sur la licéité du traitement et l'article 9 sur les catégories particulières de données personnelles. Le CEPD indique que la décision finale est datée du 2 octobre 2026 et la classe comme une affaire nationale ayant abouti à une amende administrative. Le résumé complet est disponible sur le site web du CEPD.

L'affaire a une longue histoire. Elle a débuté en 2020, lorsque le Conseil norvégien des consommateurs a déposé une plainte contre Xandr auprès de l'APD norvégienne. La plainte portait sur les enchères en temps réel dans Grindr, une application de rencontres géolocalisée destinée aux personnes gaies, bisexuelles, transgenres et queers. Les enchères en temps réel constituent le processus d'adjudication par lequel des espaces publicitaires sont vendus au plus offrant dans les millisecondes séparant l'ouverture d'une application par un utilisateur du chargement de la publicité. Chaque enchère transporte des données sur l'utilisateur afin que les soumissionnaires puissent évaluer la valeur de l'impression.

L'APD a jugé établi, selon ce qu'elle appelle une prépondérance claire de probabilité, que Xandr a traité les données personnelles des utilisateurs de Grindr lors de ces enchères. Au minimum, ces données comprenaient le fait qu'une personne utilisait Grindr, l'identifiant publicitaire de l'utilisateur et son adresse IP. Le régulateur a traité ces éléments comme des données personnelles au sens de l'article 4(1) du RGPD et, compte tenu de la nature de Grindr, comme des données concernant l'orientation sexuelle au sens de l'article 9(1).

C'est cette seconde conclusion qui a déterminé l'issue. Dès qu'une donnée entre dans une catégorie particulière, les bases juridiques ordinaires de l'article 6 ne suffisent pas à elles seules. L'APD a conclu que le consentement explicite au sens de l'article 9(2)(a) constituait la base juridique pertinente en l'espèce. Xandr n'a pas recueilli ce consentement elle-même. Elle s'est appuyée sur le consentement obtenu par Grindr, et l'APD a jugé que le consentement de Grindr était invalide au regard des articles 4(11) et 7 du RGPD, qui définissent le consentement et les conditions dans lesquelles il est valide.

L'APD a également rejeté l'idée que Xandr n'était qu'un simple intermédiaire. Elle a conclu que la société était coresponsable du traitement dans les deux rôles qu'elle jouait dans l'enchère, à titre de plateforme côté offre et de plateforme côté demande. Le résumé publié énonce clairement la position de l'APD : la responsabilité ne peut pas être externalisée. Le texte du CEPD disponible au moment de la rédaction s'interrompt à ce stade, de sorte que le raisonnement complet sous-tendant cette position, de même que tout détail sur le calcul de l'amende, ne figure pas encore dans le résumé.

Le résumé n'indique pas non plus si Xandr ou Microsoft entend contester la décision, et il ne contient aucune déclaration de l'une ou l'autre société. Les lecteurs devraient traiter l'amende comme le fait principal et attendre la décision intégrale avant de tirer des conclusions sur les ordonnances correctives ou les échéanciers.

Pour les praticiens de l'identité, il s'agit moins d'une affaire publicitaire que d'une affaire de confiance déléguée. Xandr a accepté un signal de consentement provenant d'une partie en amont et a fondé un traitement sur celui-ci. Le régulateur a dit que ce signal était sans valeur et que la partie en aval est de toute façon responsable du problème. Quiconque exploite une fédération, une plateforme CIAM ou une intégration partenaire reconnaîtra la logique de cet argument. Se fier à une assertion que l'on n'a pas vérifiée est une tradition d'ingénierie bien ancrée, et l'amende montre que le tarif en vigueur pour cela en Norvège est désormais de 8,6 millions d'euros. L'aspect encourageant est que la solution est connue et bien comprise : savoir quelles données vous recevez, savoir pourquoi vous êtes autorisé à les détenir, et être en mesure de prouver les deux.

Les équipes d'identité et de sécurité devraient vérifier trois choses. Premièrement, répertorier chaque signal de consentement ou de base juridique provenant de tiers sur lesquels vos systèmes s'appuient (chaînes de consentement, indicateurs partenaires, assertions SSO sur l'accord de l'utilisateur) et confirmer que vous pouvez démontrer comment ce consentement a été obtenu et qu'il satisfait aux articles 4(11) et 7, plutôt que de présumer que l'émetteur a accompli ce travail. Deuxièmement, vérifier si un attribut que vous traitez révèle des données de catégorie particulière par implication, comme le simple fait d'appartenir à un service destiné à un groupe protégé, et si votre base juridique pour cet attribut est le consentement explicite plutôt que l'intérêt légitime. Troisièmement, revoir les rôles de responsable du traitement et de sous-traitant dans vos accords de traitement des données pour tout ce qui ressemble à une plateforme biface, car l'APD a traité les deux côtés de l'enchère comme un coresponsable du traitement, et vos contrats pourraient ne pas en tenir compte.