Xandr Fined a Record €8.6 Million for Relaying Grindr Data Revealing Sexual Orientation

Condamnation record de Xandr pour violation de la vie privée sur Grindr

L’Autorité norvégienne de protection des données (DPA) a infligé une amende de 8,6 millions d’euros à Xandr, filiale publicitaire acquise par Microsoft, pour avoir relayé illégalement des données sensibles d’utilisateurs de l’application de rencontre Grindr entre juillet 2018 et avril 2020. Ces données, incluant l’orientation sexuelle des utilisateurs, étaient transmises à des milliers d’acteurs de l’écosystème publicitaire sans consentement explicite.

Points clés :

• Responsabilité partagée : La DPA a qualifié Xandr de “responsable conjoint du traitement” avec Grindr. À ce titre, Xandr ne pouvait pas se dédouaner en supposant que Grindr avait recueilli les consentements nécessaires.
• Pratiques opaques : Xandr a utilisé le système d’enchères en temps réel (real-time bidding) pour partager les données personnelles avec des milliers d’entreprises, à l’insu total des utilisateurs.
• Sanction exemplaire : Il s’agit de la plus forte amende jamais émise par l’autorité norvégienne, soulignant la gravité du traitement de données relevant de la catégorie “particulièrement sensible” (orientation sexuelle).

Vulnérabilités :

• Aucune vulnérabilité technique (CVE) n’est associée à cet incident. Il s’agit d’une défaillance de conformité et de gouvernance des données, où le modèle économique de “surveillance commerciale” a outrepassé les obligations légales de protection de la vie privée.

Recommandations :

• Responsabilité directe : Les intermédiaires publicitaires et les plateformes de traitement de données doivent s’assurer, par des audits stricts, que le consentement requis par le RGPD (ou législation locale équivalente) a été valablement obtenu avant tout traitement, et ne peuvent se limiter à déléguer cette responsabilité aux fournisseurs de services.
• Transparence de la chaîne de données : Les entreprises opérant dans l’ad-tech doivent cartographier précisément le flux de données partagées avec des tiers et s’assurer que le consentement est granulaire et spécifique.
• Évaluation des risques : Tout traitement impliquant des données sensibles (santé, orientation sexuelle, convictions) doit faire l’objet d’une analyse d’impact relative à la protection des données (AIPD) approfondie et systématique.

Source