Norvège: amende record contre une filiale de Microsoft pour partage illégal de données

L’autorité norvégienne de protection des données a infligé lundi une amende record de 92 millions de couronnes (8,6 millions d’euros) à Xandr, société de publicité en ligne appartenant à Microsoft, pour partage illégal de données sensibles d’utilisateurs de Grindr.

Selon cette autorité (Datatilsynet), des milliers d’utilisateurs norvégiens de l’application de rencontres ont vu des informations pouvant révéler leur orientation sexuelle transmises à potentiellement des milliers d’acteurs du secteur publicitaire, sans avoir donné explicitement leur accord.

Concrètement, Xandr est accusé d’avoir traité puis retransmis des données d’utilisateurs de Grindr vers un système d’enchères publicitaires en temps réel (« real-time bidding »), où elles ont pu être communiquées à potentiellement des milliers d’entreprises afin de permettre l’affichage de publicités ciblées.

Pour sa défense, Xandr a expliqué avoir cru que Grindr avait préalablement recueilli le consentement de ses utilisateurs.

« Les violations dans cette affaire sont très graves », a déclaré la directrice de Datatilsynet, Line Coll, citée dans un communiqué.

« La responsabilité en matière de protection des données ne peut pas être déléguée à d’autres. Chaque entreprise doit elle-même s’assurer, et être en mesure de prouver, qu’elle est autorisée à utiliser ces données », a-t-elle dit.

Les infractions se sont étalées de juillet 2018 à avril 2020.

L’affaire avait débuté en 2020 après une plainte du Conseil norvégien des consommateurs et de l’ONG de défense de la vie privée noyb contre Grindr et plusieurs entreprises de publicité en ligne.

Xandr, alors connu sous le nom d’AppNexus, n’appartenait pas encore à Microsoft au moment des faits. Le montant de l’amende a donc été calculé sur la base de son propre chiffre d’affaires et non de celui du géant américain.

« Cette enquête et cette décision portent sur des pratiques antérieures au rachat de Xandr par Microsoft et, depuis lors, l’interprétation et l’application des normes juridiques et des pratiques ont continué d’évoluer », a commenté une porte-parole de Microsoft.

« Nous examinons la décision et évaluons les différentes options qui s’offrent à nous », a-t-elle ajouté dans un courriel à l’AFP.

La société dispose de trois semaines pour faire appel.

« La collecte et l’utilisation de données personnelles en ligne sont devenues incontrôlables. Aucun utilisateur de Grindr ne connaîtrait même l’existence de Xandr, encore moins ne serait en mesure de comprendre comment l’entreprise utilisait ses données personnelles », a commenté Finn Lützow-Holm Myrstad, un responsable du Conseil norvégien des consommateurs.

De son côté, noyb a vu dans cette décision « un précédent précieux pour des affaires similaires ».

« Les entreprises de publicité en ligne comme Xandr opèrent souvent en coulisses et sont rarement tenues responsables de leurs pratiques », a fait valoir Felix Mikolasch, juriste de l’ONG spécialisé dans la protection des données.

En 2025, la justice norvégienne avait déjà confirmé une amende, record également à l’époque, de 65 millions de couronnes infligée par Datatilsynet à Grindr pour partage illégal de données sensibles.

phy/nzg/abx/nth