Norway fines Microsoft ad firm $9.6 million over Grindr data sharing
Mis à jour :
Sanction record contre Xandr pour traitement illégal de données sensibles
L’autorité norvégienne de protection des données (Datatilsynet) a infligé une amende historique de 9,6 millions de dollars à Xandr, filiale publicitaire de Microsoft, pour le partage illicite de données sensibles d’utilisateurs de l’application Grindr. Entre 2018 et 2020, la plateforme a permis la diffusion de données personnelles, incluant l’orientation sexuelle des utilisateurs, à des milliers d’annonceurs sans obtenir le consentement explicite requis par la réglementation.
Points clés :
- Responsabilité partagée : En tant que co-responsable du traitement des données, Xandr avait l’obligation juridique de s’assurer de la validité du consentement des utilisateurs, ce qu’elle a négligé de vérifier.
- Impact des enchères en temps réel : Le mécanisme d’enchères publicitaires automatisé a exposé les données de profilage d’utilisateurs norvégiens et internationaux à une vaste sphère d’annonceurs tiers.
- Précédent juridique : Cette décision marque un tournant majeur contre les pratiques de surveillance commerciale et l’échange opaque de données au sein de l’industrie publicitaire (adtech).
- Position de Microsoft : Microsoft souligne que ces faits sont antérieurs à son acquisition de Xandr et évalue actuellement ses options juridiques.
Vulnérabilités :
- Absence de vérification des mécanismes de consentement (“Privacy by default” non appliqué).
- Défaut de diligence raisonnable dans le partage de données sensibles via des intermédiaires tiers.
- Note : Aucune CVE n’est associée à cet incident, car il s’agit d’une faille de conformité réglementaire et de gouvernance des données plutôt que d’une vulnérabilité technique logicielle.
Recommandations :
- Audit des tiers : Les entreprises agissant comme intermédiaires doivent impérativement vérifier et documenter la validité des consentements recueillis par leurs partenaires.
- Gouvernance des données : Mettre en œuvre des protocoles stricts pour empêcher la fuite de données sensibles lors de processus automatisés comme les enchères publicitaires en temps réel (RTB).
- Conformité proactive : Assurer une transparence totale vis-à-vis des utilisateurs sur l’utilisation, le partage et le profilage de leurs données, conformément aux réglementations sur la protection de la vie privée (type RGPD/normes norvégiennes).