📋 Contexte

Le 12 octobre 2026, l’autorité norvégienne de protection des données (Datatilsynet) a publié une décision d’amende administrative à l’encontre de Xandr, société de publicité numérique appartenant à Microsoft, pour traitement et partage illicites de données personnelles sensibles.

⚖️ Nature de l’infraction

L’infraction porte sur la participation de Xandr au mécanisme de real-time bidding (RTB), dans lequel :

  • Xandr agissait à la fois côté acheteur et côté vendeur
  • Les données personnelles des utilisateurs de Grindr (application de rencontres pour personnes LGBTQ+) étaient relayées automatiquement vers potentiellement des milliers d’acteurs de l’écosystème publicitaire
  • Les données transmises incluaient des informations révélant l’orientation sexuelle, catégorie bénéficiant d’une protection spéciale
  • Les transactions se déroulaient à l’insu total des utilisateurs, en une fraction de seconde

📅 Chronologie

  • Juillet 2018 – Avril 2020 : période des infractions (près de deux ans)
  • 2020 : plainte déposée par le Conseil norvégien des consommateurs contre Xandr (alors AppNexus)
  • 2021 : Grindr avait déjà reçu une amende de 65 millions NOK pour des infractions équivalentes
  • Octobre 2026 : décision finale de l’autorité norvégienne

💰 Sanction

  • Amende de 92 millions NOK (≈ 8,6 millions €), la plus élevée jamais prononcée par le Datatilsynet
  • Calculée sur le chiffre d’affaires annuel propre de Xandr (non celui de Microsoft, Xandr n’en faisant pas partie durant la période concernée)
  • Facteurs aggravants : durée de l’infraction, bénéfice financier direct tiré du partage illicite, taille et rôle central de Xandr dans l’écosystème publicitaire

🔍 Conclusions juridiques

  • Xandr est qualifié de responsable conjoint du traitement avec Grindr
  • L’absence de consentement explicite valide est établie ; Xandr n’a pas vérifié la validité des consentements collectés par Grindr
  • L’argument de Xandr consistant à reporter la responsabilité sur Grindr a été rejeté

📌 Type d’article

Cet article est une décision réglementaire / incident de conformité documentant une sanction administrative pour violation du droit à la protection des données personnelles dans le cadre de l’écosystème publicitaire programmatique.

🟡 Indice de vérification factuelle : 45/100 (moyenne)

  • ✅ datatilsynet.no — source reconnue (liste interne) (20pts)
  • ✅ 5175 chars — texte complet (fulltext extrait) (15pts)
  • ⬜ aucun IOC extrait (0pts)
  • ⬜ pas d’IOC à vérifier (0pts)
  • ⬜ aucune TTP identifiée (0pts)
  • ✅ date extraite du HTML source (10pts)
  • ⬜ aucun acteur de menace nommé (0pts)
  • ⬜ pas de CVE à vérifier (0pts)

🔗 Source originale : https://www.datatilsynet.no/en/news/news-2026/microsoft-company-fined-nok-92-million-for-unlawfully-sharing-personal-data/