Le régulateur norvégien de la vie privée a imposé une amende record de 92 millions de couronnes norvégiennes (9,6 millions de dollars) à Xandr, une société de technologie publicitaire désormais détenue par Microsoft, pour avoir manipulé illégalement des informations personnelles sensibles collectées via l’application de rencontres Grindr. La décision met en lumière les responsabilités des sociétés de publicité qui traitent les informations des utilisateurs sans interagir directement avec les personnes concernées.
L’Autorité norvégienne de protection des données, connue sous le nom de Datatilsynet, a annoncé la sanction le 12 octobre 2026, à la suite d’une enquête sur les pratiques publicitaires entre juillet 2018 et avril 2020. Durant cette période, Xandr a facilité des enchères publicitaires automatisées impliquant des utilisateurs de Grindr, rendant potentiellement des informations personnelles accessibles à des milliers d’entreprises.
Grindr sert principalement les utilisateurs LGBTQ+, ce qui signifie que les informations identifiant quelqu’un comme utilisateur d’application pourraient révéler des détails sensibles sur son orientation sexuelle. La législation européenne sur la vie privée impose des restrictions supplémentaires au traitement de ces informations, y compris des exigences de consentement explicite.
Selon le régulateur, Xandr a participé à un système appelé enchères en temps réel, où les annonceurs rivalisent pour afficher des publicités lorsqu’une personne ouvre une application. Des informations personnelles sont distribuées aux acheteurs potentiels durant ce processus, permettant aux entreprises de décider si elles ciblent un utilisateur particulier.
Les enquêteurs ont conclu que Xandr ne disposait pas d’une base juridique valable pour traiter ces informations. Bien que la société ait estimé que Grindr avait déjà obtenu les autorisations nécessaires, elle n’avait pas vérifié de manière indépendante si ces autorisations respectaient les exigences de confidentialité.
Datatilsynet a déterminé que Xandr partageait la responsabilité avec Grindr pour les activités de traitement. La décision établit que les intermédiaires publicitaires ne peuvent pas éviter leurs obligations de protection des données simplement en s’appuyant sur les garanties des applications fournissant des informations personnelles.
L’enquête est née de plaintes déposées en 2020 par le Conseil norvégien de la consommation et l’organisation européenne de la vie privée noyb. Leurs recherches ont révélé comment les applications mobiles transmettaient des informations personnelles aux entreprises de publicité, souvent sans que les utilisateurs ne comprennent à quel point leurs données étaient distribuées.
Grindr avait déjà reçu une amende de 65 millions de couronnes en 2021 pour des infractions connexes. La Cour d’appel de Norvège a confirmé cette sanction en octobre 2025.
Microsoft a acquis Xandr après que les activités examinées dans l’enquête aient déjà eu lieu ensemble. En réponse à la dernière décision, l’entreprise a souligné que ce comportement précédait sa propriété et a indiqué qu’elle examinait les conclusions du régulateur et envisageait ses options.
La pénalité, calculée avec les revenus de Xandr plutôt que ceux de Microsoft, est la plus importante jamais infligée par l’autorité norvégienne de la vie privée. Xandr dispose de trois semaines pour faire appel.