Ce qui a changé
- L'autorité norvégienne de protection des données a prononcé une amende administrative de EUR 8 600 000 à l'encontre de Xandr Inc. pour violations des articles 6(1) et 9(1) du RGPD.
- L'autorité a conclu que Xandr a agi en tant que responsable conjoint du traitement et ne pouvait pas se prévaloir d'un consentement invalide obtenu par un tiers, Grindr.
- L'autorité de protection des données a établi que les responsables conjoints du traitement doivent vérifier de manière indépendante que le consentement est valide et couvre leurs propres activités de traitement.
L'Autorité norvégienne de protection des données (Datatilsynet) a imposé une amende administrative de EUR 8 600 000 (NOK 92 millions) à la société de technologie publicitaire Xandr Inc. (anciennement AppNexus, faisant désormais partie de Microsoft) pour traitement de données à caractère personnel sans base légale en vertu du Règlement général sur la protection des données (RGPD). La décision, datée du 2 octobre 2026, fait suite à une plainte déposée en 2020 par le Conseil norvégien des consommateurs concernant des activités d'enchères en temps réel liées à Grindr, une application de rencontre basée sur la géolocalisation destinée aux personnes gaies, bi, trans et queer.
L'autorité a établi selon une prépondérance claire des probabilités que Xandr a traité les adresses IP des utilisateurs de Grindr, leurs identifiants publicitaires ainsi que le fait que ces personnes utilisaient l'application lors d'enchères en temps réel. L'autorité de protection des données a catégorisé ces informations comme des données à caractère personnel au sens de l'article 4(1) du RGPD et des données relatives à l'orientation sexuelle au sens de l'article 9(1) du RGPD.
Opérant tant sur les plateformes supply-side que demand-side, Xandr a été désignée comme responsable conjoint du traitement pour les activités de traitement. Les opérations impliquant des catégories particulières de données à caractère personnel, un consentement explicite en vertu de l'article 9(2)(a) du RGPD était requis. Xandr n'a pas recueilli le consentement directement et s'est fondée sur le consentement obtenu par Grindr, que l'autorité de protection des données a jugé invalide au sens des articles 4(11) et 7 du RGPD. L'autorité de protection des données a confirmé que la responsabilité ne peut être externalisée en vertu du RGPD, concluant que chaque responsable conjoint du traitement doit vérifier de manière indépendante que le consentement est valide et couvre ses opérations de traitement spécifiques.
Déterminant que les violations étaient au moins négligentes et concernaient des dispositions centrales du RGPD protégeant les données sensibles, l'autorité norvégienne de protection des données a qualifié les infractions de très graves. La décision établit un précédent jurisprudentiel important en matière d'application de la loi pour les fournisseurs d'adtech et les ad exchanges opérant dans l'Espace économique européen concernant le recours au consentement de tiers.
Qui peut être concerné
Entreprises d'adtech, ad exchanges, plateformes demand-side et supply-side, développeurs d'applications mobiles et utilisateurs de Grindr en Norvège.
Contexte transfrontalier
Applique les normes du RGPD dans l'Espace économique européen (EEE) concernant les enchères en temps réel, la responsabilité des responsables conjoints du traitement et les chaînes de consentement adtech internationales.
Points à vérifier ensuite
- Vérifier si Xandr Inc. ou Microsoft dépose un recours contre la décision de l'autorité norvégienne de protection des données.
- Suivre les orientations ou déclarations ultérieures du CEPD concernant les obligations des responsables conjoints du traitement dans la publicité programmatique.
Cet article fournit des informations générales et ne constitue pas un conseil juridique. Consultez le texte officiel et obtenez des conseils adaptés à votre situation si nécessaire.