Grindr to Pay £26 Million to Settle U.K. Claims Over HIV Status Data Sharing
Mis à jour :
Règlement judiciaire : Grindr sanctionné pour le partage illégal de données de santé
Grindr a accepté de verser 26 millions de livres sterling (environ 35,1 millions de dollars) pour clore une action collective au Royaume-Uni. Cette affaire fait suite à des pratiques de gestion des données antérieures à 2020, période durant laquelle l’application partageait des informations sensibles d’utilisateurs avec des tiers.
Points clés :
- Nature du litige : Partage non autorisé de données hautement sensibles (statut VIH et date du dernier test de dépistage) avec des outils d’optimisation tiers (Apptimize et Localytics).
- Contexte : Les faits remontent à une période où l’application était sous la direction de Kunlun (avant mai 2020). Plus de 10 000 utilisateurs britanniques étaient concernés par cette action en justice.
- Absence d’aveu : Grindr conteste les allégations mais règle le litige pour mettre fin au contentieux, sans admettre formellement sa responsabilité.
- Historique des sanctions : L’entreprise a également été condamnée en Norvège en 2021 pour violation du RGPD concernant le partage de données de géolocalisation et d’orientation sexuelle à des fins publicitaires.
Vulnérabilités et manquements :
- Il ne s’agit pas d’une vulnérabilité technique type CVE (logicielle), mais d’une faille de gouvernance des données et de conformité.
- Le transfert de données sensibles (catégories particulières selon le RGPD) vers des services tiers sans consentement explicite ni protection adéquate a constitué la violation majeure.
Recommandations :
- Privacy by Design : Intégrer la confidentialité dès la conception des applications, surtout lors de l’utilisation de services tiers d’analyse ou d’optimisation.
- Minimisation des données : S’assurer que les données transmises à des tiers sont strictement nécessaires et anonymisées, en excluant systématiquement les informations de santé ou de préférences sexuelles.
- Transparence et contrôle : Maintenir des politiques de confidentialité claires et offrir aux utilisateurs un contrôle granulaire sur le partage de leurs données personnelles.
- Audit de conformité : Réaliser régulièrement des audits de conformité (RGPD/UK GDPR) pour évaluer les flux de données sortants vers les outils de marketing et d’analyse.