L'amende et ce qu'elle couvre
L'autorité norvégienne de protection des données, Datatilsynet, a infligé le 12 octobre 92 millions de NOK à Xandr, aujourd'hui rattachée à Microsoft, pour avoir traité et partagé des données personnelles sensibles d'utilisateurs de Grindr en violation du droit de la protection des données.
| Point | Détail |
|---|---|
| Amende | 92 millions de NOK, environ 8,6 millions d'euros selon la conversion de l'autorité (noyb parle de 8,5 millions, BleepingComputer de 9,6 millions de dollars) |
| Rang | Plus forte amende prononcée à ce jour par Datatilsynet |
| Période | De juillet 2018 à avril 2020, près de deux ans |
| Base du montant | Le chiffre d'affaires annuel propre de Xandr, non celui de Microsoft |
| Amende antérieure à Grindr | 65 millions de NOK en 2021 pour des manquements équivalents |
| Délai de recours | Trois semaines à compter de la réception de la décision |
Xandr participait aux enchères en temps réel comme acheteur et comme vendeur. Quand quelqu'un ouvrait Grindr, ses données personnelles étaient dans bien des cas relayées par Xandr à potentiellement des milliers d'annonceurs, qui enchérissaient pour lui montrer une publicité, le tout caché à l'utilisateur. Ces données incluaient des informations révélant l'orientation sexuelle, que l'autorité dit spécialement protégées : être utilisateur de Grindr indique déjà cette orientation. La cour d'appel de Borgarting a statué dans le même sens dans l'affaire de l'amende de 65 millions de NOK infligée à Grindr pour des manquements équivalents en 2021.
Pourquoi s'appuyer sur le consentement de Grindr n'a pas suffi
Datatilsynet a conclu qu'un consentement explicite était nécessaire pour traiter ces données et que Xandr n'avait rien fait pour s'assurer d'en avoir un valable. Xandr s'est défendue en disant croire que Grindr avait recueilli le consentement des utilisateurs, et l'autorité refuse que les entreprises puissent simplement se renvoyer la responsabilité.
L'autorité a jugé Xandr responsable conjoint du traitement avec Grindr, de sorte que l'obligation d'avoir une base juridique incombait à Xandr elle-même. La directrice générale, Line Coll, a posé le principe clairement : la responsabilité en matière de protection des données ne se transmet pas, et chaque entreprise doit s'assurer elle-même, et pouvoir le documenter, qu'elle traite les données personnelles de façon licite.
Les informations sur la vie sexuelle ou l'orientation sexuelle relèvent des catégories particulières de l'article 9 du RGPD, dont le traitement est interdit sauf exception. Deux facteurs ont alourdi l'amende : la pratique a duré près de deux ans et Xandr a tiré un avantage financier direct du partage illicite.
Ce que dit Microsoft et ce qu'ajoute noyb
Microsoft a déclaré à BleepingComputer que l'enquête et son issue portent sur des faits antérieurs au rachat de Xandr, que les cadres juridiques et leur application ont changé depuis, et qu'elle examine la décision et évalue ses options. Xandr opère aujourd'hui sous le nom de Microsoft Advertising.
L'autorité a calculé le montant sur le chiffre d'affaires annuel total de Xandr, et non sur celui de Microsoft, car Xandr ne faisait pas partie de Microsoft pendant la période concernée. L'amende pèse pourtant désormais sur une entreprise détenue par Microsoft, rappel que l'historique des données suit la société que l'on rachète.
noyb, qui a déposé la plainte d'origine avec le Conseil norvégien des consommateurs en 2020, parle d'un coup dur pour la publicité en ligne. Il soutient aussi que la proposition Digital Omnibus de la Commission européenne, actuellement discutée au Parlement et au Conseil, retirerait les identifiants de suivi en ligne du champ du RGPD après un fort lobbying des géants technologiques. C'est la lecture de noyb de la proposition, pas une déclaration de la Commission.
Une habitude de vérification pour qui reçoit des données
La leçon pratique est que l'affirmation d'un partenaire selon laquelle le consentement existe est une déclaration à vérifier, et la vérification vous revient.
La décision concerne la publicité en ligne, mais son raisonnement vaut pour toute entreprise qui reçoit des données personnelles via une plateforme publicitaire, un SDK, un partenaire de génération de leads ou une liste achetée. Le tableau est une suggestion de Servola pour appliquer le principe, non un texte de la décision.
| D'où viennent vos données personnelles | Que vérifier | Quelles preuves conserver |
|---|---|---|
| Plateforme publicitaire ou flux SDK | Quel consentement l'émetteur a recueilli et si son libellé couvre votre usage | Le texte du consentement et la confirmation écrite de la plateforme |
| Partenaire de leads ou de listes | Si chaque personne a accepté d'être contactée par vous | Un échantillon de preuves de consentement et la clause contractuelle sur la base juridique |
| Balises et pixels sur votre propre site | Ce que fait chaque fournisseur des données des visiteurs et si votre bandeau le couvre | La liste des fournisseurs et le registre des consentements avec les dates |
Traitez comme des données de l'article 9 tout flux qui pourrait révéler la santé, les convictions ou l'orientation sexuelle, et vérifiez avant d'utiliser le premier enregistrement. Une seule source non vérifiée peut faire de tout ce qui suit une infraction.
À lire ensuite: Google a été condamnée pour ce qu'elle n'a pas pu prouver | Twitch entraine l'IA d'Amazon avec vos streams par défaut
