Le 12 octobre 2026, la Datatilsynet, autorité norvégienne de protection des données, a annoncé une amende de 92 millions de couronnes (environ 8,5 millions d’euros) contre Xandr, société de publicité en ligne du groupe Microsoft. La décision, datée du 2 octobre, couvre la période du 20 juillet 2018 au 7 avril 2020. Pendant ces vingt mois, Xandr a reçu, par le jeu des enchères publicitaires en temps réel, des données d’utilisateurs de l’application de rencontre Grindr. Pour tout coresponsable de traitement, le dossier pose une question pratique : à qui revient la vérification du consentement quand on ne parle jamais directement aux personnes ?
Une plainte de 2020, une décision en 2026
L’affaire part d’une plainte déposée en 2020 par le Conseil norvégien des consommateurs avec l’association noyb. Elle visait Grindr et plusieurs sociétés de publicité destinataires des données. Les consentements recueillis par Grindr avaient déjà été jugés invalides par l’autorité norvégienne dans une procédure antérieure.
Les données en cause semblent anodines : identifiant publicitaire, adresse IP et le simple fait que la personne utilise Grindr. L’autorité a pourtant qualifié ce dernier élément de donnée concernant l’orientation sexuelle au sens de l’article 9(1) du RGPD. Le contexte d’une collecte peut donc suffire à rendre une donnée sensible, ce que beaucoup d’organismes oublient en dressant leur registre.
Le raisonnement sur le coresponsable de traitement
Xandr se présentait comme un simple exécutant. Grindr devait selon elle recueillir le consentement, et une clause du contrat interdisait à Grindr de lui transmettre des données sensibles. D’après les comptes rendus de la décision (54 pages, partiellement occultées), l’autorité a écarté ces arguments un par un.
Elle s’appuie sur l’arrêt IAB Europe de la Cour de justice de l’Union (C-604/22) pour qualifier Xandr de responsable conjoint, comme plateforme côté vendeur et comme plateforme côté acheteur. Xandr définissait dans sa console le cadre des choix offerts à Grindr, et influençait ainsi les finalités et les moyens du traitement. Côté acheteur, Xandr avait d’ailleurs reconnu elle-même en 2023 sa coresponsabilité avec Grindr.
La conséquence est directe : la responsabilité ne se délègue pas. Chaque responsable conjoint doit s’assurer que le consentement est valide et qu’il couvre son propre traitement. L’autorité ajoute qu’un destinataire sans contact avec les personnes a d’autant plus de raisons de vérifier. Une clause interdisant l’envoi de données sensibles ne protège pas celui qui, dans les faits, les reçoit et les exploite. Les articles 5(2), 7(1) et 24 sont retenus sur ce point, en plus des articles 6(1) et 9(1) pour l’absence de base légale.
La décision relève aussi la suppression de documents entre 2020 et 2023 au titre de la politique de conservation de Xandr, alors que l’enquête était connue depuis février 2020. L’autorité refuse que cette suppression profite à l’entreprise, puisque la charge de démontrer la conformité pèse sur le responsable. L’amende a été calculée sur le chiffre d’affaires de Xandr et non sur celui de Microsoft, puis réduite en raison de la durée de la procédure. Xandr peut former un recours.
Ce que l’organisme destinataire de données doit vérifier
La publicité programmatique paraît loin d’un service de santé au travail ou d’une mairie. Le mécanisme se retrouve pourtant chaque fois qu’une donnée passe d’un organisme à un autre : plateforme d’emploi qui transmet des candidatures, partenaire qui envoie un fichier, outil de communication alimenté par des formulaires tiers, pixel publicitaire posé sur un site.
- Qualifier la relation pour chaque flux entrant : sous-traitant (article 28), responsable conjoint (article 26) ou responsable distinct. L’étiquette du contrat ne vaut que si elle correspond à la réalité des décisions prises.
- En cas de coresponsabilité, rédiger l’accord de l’article 26 en précisant qui recueille le consentement, comment la preuve circule et comment le destinataire peut la contrôler.
- Demander la preuve de la base légale invoquée par l’émetteur, au moins par échantillon, et la conserver.
- Repérer les données que le contexte rend sensibles : inscription à un service lié à la santé, à une pratique religieuse, à un syndicat.
- Filtrer techniquement à la réception les champs qui ne devraient pas arriver, plutôt que de compter sur une interdiction contractuelle.
- Suspendre les purges automatiques sur les éléments concernés dès qu’une plainte ou un contrôle est connu.
Sur un site internet, la question se pose dès qu’un traceur publicitaire est installé, même lorsque le site n’a aucun objectif commercial. L’éditeur du site et le fournisseur du traceur sont souvent responsables conjoints de la collecte. Le registre doit le refléter, et l’information des visiteurs doit nommer ces destinataires.
Le réseau DPO FRANCE réunit des DPO indépendants qui aident les organismes à qualifier leurs flux de données et à rédiger les accords de coresponsabilité. Le logiciel DPO SUITE rattache à chaque traitement ses responsables conjoints et ses sous-traitants, conserve les accords des articles 26 et 28 et garde les preuves de consentement disponibles en cas de contrôle.
