Xandr (Microsoft) condamné à 92 millions NOK pour partage illicite de données Grindr en Norvège

Wed, 14 Oct 2026 00:00:00 +0200

📋 Contexte

Le 12 octobre 2026, l’autorité norvégienne de protection des données (Datatilsynet) a publié une décision d’amende administrative à l’encontre de Xandr, société de publicité numérique appartenant à Microsoft, pour traitement et partage illicites de données personnelles sensibles.

⚖️ Nature de l’infraction

L’infraction porte sur la participation de Xandr au mécanisme de real-time bidding (RTB), dans lequel :

Xandr agissait à la fois côté acheteur et côté vendeur
Les données personnelles des utilisateurs de Grindr (application de rencontres pour personnes LGBTQ+) étaient relayées automatiquement vers potentiellement des milliers d’acteurs de l’écosystème publicitaire
Les données transmises incluaient des informations révélant l’orientation sexuelle, catégorie bénéficiant d’une protection spéciale
Les transactions se déroulaient à l’insu total des utilisateurs, en une fraction de seconde

📅 Chronologie

Juillet 2018 – Avril 2020 : période des infractions (près de deux ans)
2020 : plainte déposée par le Conseil norvégien des consommateurs contre Xandr (alors AppNexus)
2021 : Grindr avait déjà reçu une amende de 65 millions NOK pour des infractions équivalentes
Octobre 2026 : décision finale de l’autorité norvégienne

💰 Sanction

Amende de 92 millions NOK (≈ 8,6 millions €), la plus élevée jamais prononcée par le Datatilsynet
Calculée sur le chiffre d’affaires annuel propre de Xandr (non celui de Microsoft, Xandr n’en faisant pas partie durant la période concernée)
Facteurs aggravants : durée de l’infraction, bénéfice financier direct tiré du partage illicite, taille et rôle central de Xandr dans l’écosystème publicitaire

🔍 Conclusions juridiques

Xandr est qualifié de responsable conjoint du traitement avec Grindr
L’absence de consentement explicite valide est établie ; Xandr n’a pas vérifié la validité des consentements collectés par Grindr
L’argument de Xandr consistant à reporter la responsabilité sur Grindr a été rejeté

📌 Type d’article

Cet article est une décision réglementaire / incident de conformité documentant une sanction administrative pour violation du droit à la protection des données personnelles dans le cadre de l’écosystème publicitaire programmatique.