Grindr et Xandr : la plus lourde amende jamais infligée en Norvège pour la protection des données

L’autorité norvégienne de protection des données a infligé une amende de 92 millions de NOK à Xandr, société publicitaire appartenant à Microsoft, pour avoir transmis les données d’utilisateurs de Grindr, notamment des données révélant leur orientation sexuelle, à potentiellement des milliers d’entreprises.

Ce qui s'est passé

Lorsque des personnes en Norvège ouvraient Grindr, leurs données personnelles étaient, dans de nombreux cas, transmises par l’intermédiaire de la société publicitaire Xandr (alors AppNexus, aujourd’hui intégrée à Microsoft) à potentiellement des milliers d’acteurs du marché publicitaire, où les annonceurs enchérissent en temps réel pour leur afficher des publicités. Le simple fait d’utiliser Grindr indique une orientation sexuelle, qui constitue une donnée spécialement protégée. Xandr a fait valoir qu’elle pensait que Grindr avait recueilli le consentement. L’autorité norvégienne de protection des données a rejeté cet argument : chaque entreprise doit elle-même s’assurer de disposer d’une base légale et la documenter, et Xandr n’avait rien fait pour vérifier la validité du consentement. L’autorité a conclu que Xandr était responsable conjoint du traitement avec Grindr et a infligé sa plus lourde amende à ce jour, 92 millions de NOK (environ 8,6 millions d’euros). L’affaire a débuté par une plainte du Conseil norvégien des consommateurs en 2020. Grindr avait elle-même reçu une amende de 65 millions de NOK pour des manquements équivalents en 2021, confirmée par la cour d’appel.

Ce qui est documenté

• L’autorité norvégienne de protection des données a infligé à Xandr une amende de 92 millions de NOK, annoncée le 12 octobre 2026.
• Les manquements ont duré de juillet 2018 à avril 2020 et ont touché des milliers d’utilisateurs en Norvège, selon l’autorité.
• L’autorité a constaté l’absence de consentement explicite valide et a conclu que Xandr était responsable conjoint du traitement avec Grindr.
• L’amende de 65 millions de NOK infligée à Grindr elle-même (2021) a été confirmée par la cour d’appel de Borgarting.

Ce qui n'a pas été établi

• La décision n’était pas définitive lors de son annonce : Xandr disposait de trois semaines pour faire appel.
• Quelles entreprises précises ont reçu les données et comment elles les ont utilisées.

Ce que cela signifie pour vous

1. Le simple fait d’être sur une application de rencontre peut révéler des informations sensibles à ton sujet.
2. Refuse le suivi publicitaire et les publicités personnalisées dans l’application et dans les réglages de ton téléphone.
3. Tu peux demander à un service avec quelles entreprises il partage tes données.