☕️ Xandr : amende de 8, 6 millions d’euros en Norvège pour avoir utilisé des données de Grindr
La Datatilsynet (l’équivalent de la CNIL en Norvège) vient d’infliger une amende de 8,6 millions d’euros (92 millions de couronnes norvégiennes) pour avoir « traité et partagé » des données personnelles venant de comptes utilisateurs de Grindr. L’autorité norvégienne avait déjà sanctionné Grindr sur le sujet avec une amende de 5,8 millions d’euros qu’elle avait confirmée […].
La Datatilsynet, l’autorité norvégienne de protection des données (équivalent de la CNIL en France), a infligé une amende de 8,6 millions d’euros (soit 92 millions de couronnes norvégiennes) à Xandr, une filiale publicitaire rachetée par Microsoft en 2022. Cette sanction fait suite à l’utilisation et au partage illégal de données personnelles issues de comptes Grindr, une application de rencontre destinée principalement aux hommes homosexuels. L’amende repose sur la violation du RGPD (Règlement Général sur la Protection des Données), une loi européenne encadrant strictement le traitement des données personnelles. La Datatilsynet a estimé que Xandr avait traité des données sensibles, notamment l’orientation sexuelle des utilisateurs, sans base légale valable.
L’autorité norvégienne reproche à Xandr d’avoir traité et partagé des données personnelles relevant d’une catégorie particulière, comme l’orientation sexuelle, sans respecter les conditions strictes du RGPD. Ces données sont considérées comme sensibles car elles peuvent révéler des aspects intimes de la vie privée. Le RGPD impose des règles strictes pour leur traitement, notamment l’obtention d’un consentement explicite ou une justification légale claire. Xandr a tenté de se défendre en affirmant que ses contrats interdisaient à ses clients de lui transmettre ce type de données. Cependant, la Datatilsynet a rejeté cet argument, soulignant que les entreprises ne peuvent pas se décharger de leur responsabilité en se renvoyant mutuellement la faute.
Outre le traitement illégal des données, Xandr est accusé d’avoir partagé ces informations avec d’autres clients, ce qui a permis à l’entreprise de réaliser des avantages financiers. La Datatilsynet a souligné que la collecte et le partage de ces données ont facilité des transactions publicitaires, générant ainsi des profits pour Xandr. L’autorité a considéré cette circonstance comme aggravante, car elle démontre un profit tiré de pratiques non conformes au RGPD. L’amende a été calculée en fonction du nombre d’utilisateurs norvégiens concernés, bien que le chiffre exact ne soit pas précisé dans l’article.
Cette sanction s’inscrit dans un contexte plus large de contrôle accru sur les pratiques des entreprises technologiques en matière de protection des données. En octobre 2023, la Datatilsynet avait déjà infligé une amende de 5,8 millions d’euros à Grindr pour des violations similaires du RGPD. L’association noyb, spécialisée dans la défense de la vie privée, a salué cette décision comme un précédent précieux pour d’autres affaires similaires. Felix Mikolasch, l’un de ses avocats, a souligné que les entreprises comme Xandr opèrent souvent dans l’ombre et échappent rarement à des sanctions, ce qui rend cette décision notable.
*Xandr* a réagi en affirmant que ses contrats interdisaient à ses clients de lui transmettre des données sensibles, ce qui, selon elle, exonère l’entreprise de toute responsabilité. Cependant, la *Datatilsynet* a rejeté cette argumentation, rappelant que les entreprises ne peuvent pas se soustraire à leurs obligations légales en invoquant des clauses contractuelles. Cette décision envoie un signal fort aux acteurs du secteur publicitaire en ligne, souvent critiqués pour leur manque de transparence. Elle rappelle que le *RGPD* s’applique à toutes les étapes du traitement des données, y compris leur partage avec des tiers.
