Utiliser une application de rencontres peut révéler une information particulièrement intime : l’orientation sexuelle. Pour avoir traité les données d’utilisateurs de Grindr sans consentement valable, Xandr, aujourd’hui filiale de Microsoft, s’est vu infliger une amende de 92 millions de couronnes norvégiennes, soit environ 8,5 millions d’euros. Annoncée le 12 octobre 2026, cette décision rappelle aux professionnels de la publicité en ligne qu’ils doivent vérifier eux-mêmes la légalité de leurs traitements, même lorsque le consentement est recueilli par un partenaire.
Une application ouverte, des données diffusées en une fraction de seconde
Tout commence par un geste ordinaire : ouvrir une application. Sur Grindr, application de rencontres destinée notamment à un public gay, bisexuel, trans et queer, l’affichage d’une publicité pouvait entraîner la transmission d’informations sur l’utilisateur à de nombreuses entreprises, sans que celui-ci mesure l’étendue de cette diffusion.
Ce système, appelé real-time bidding, ou enchères publicitaires en temps réel, permet aux annonceurs de se disputer un espace publicitaire à partir des données transmises. Tout se joue en une fraction de seconde. Xandr intervenait comme intermédiaire auprès des acheteurs et des vendeurs d’espaces publicitaires. Les données pouvaient ainsi être transmises à des milliers de destinataires potentiels.
L’affaire trouve son origine dans une plainte déposée en 2020 par le Conseil norvégien des consommateurs, avec l’appui de l’association noyb. Par une décision du 2 octobre 2026, Datatilsynet, l’autorité norvégienne de protection des données, a sanctionné les traitements effectués entre juillet 2018 et avril 2020.
L’amende est la plus élevée jamais prononcée par cette autorité. Xandr dispose de trois semaines à compter de la réception de la décision pour exercer un recours. La Norvège applique le règlement général sur la protection des données (RGPD) dans le cadre de l’Espace économique européen : les professionnels français sont donc concernés par les mêmes exigences.
L’orientation sexuelle peut se révéler sans être déclarée
Une donnée sensible ne prend pas nécessairement la forme d’une réponse à une question sur la santé, la religion ou l’orientation sexuelle. Une donnée peut révéler une information intime sans la mentionner explicitement.
Pour Datatilsynet, le fait d’associer une personne à l’utilisation de Grindr constitue déjà une information indiquant son orientation sexuelle. Les données concernées bénéficient donc de la protection renforcée prévue par l’article 9 du RGPD. Il n’est pas nécessaire que l’utilisateur ait directement déclaré son orientation sexuelle.
Cette approche rejoint la jurisprudence de la Cour de justice de l’Union européenne. Dans l’arrêt OT du 1er août 2022 (C-184/20), la Cour a reconnu que des informations susceptibles de révéler indirectement l’orientation sexuelle constituent des données sensibles. L’arrêt Meta du 4 juillet 2023 (C-252/21) confirme que cette protection s’applique lorsque l’activité en ligne permet de révéler de telles informations.
L’arrêt Lindenapotheke du 4 octobre 2024 (C-21/23) illustre la même logique concernant la santé : les données d’une commande de médicaments réservés aux pharmacies peuvent être sensibles, même lorsque les déductions qu’elles permettent ne sont pas certaines. Pour les entreprises, il faut donc examiner ce que les données permettent de comprendre d’une personne, au-delà de leur apparence technique.
Invoquer le consentement recueilli par un partenaire ne suffit pas
Pour se défendre, Xandr invoquait le consentement recueilli par Grindr. L’argument n’a pas convaincu. L’autorité a retenu une responsabilité conjointe des deux entreprises et rappelé que chaque responsable doit vérifier que le consentement est valable et couvre ses propres traitements.
Deux exigences se cumulent. L’article 6 du RGPD impose une base juridique pour traiter des données personnelles. L’article 9 interdit, par principe, le traitement des données sensibles, sauf exception. Dans cette affaire, le consentement explicite était l’exception pertinente, mais aucun consentement valable ne couvrait les traitements sanctionnés.
Une acceptation générale des conditions d’utilisation ne suffit pas. La personne doit comprendre l’usage prévu de ses données et exprimer un choix libre, spécifique et éclairé. Le responsable du traitement doit pouvoir le démontrer, même lorsque le consentement est recueilli par un tiers.
La responsabilité conjointe ne s’étend toutefois pas automatiquement à toute la chaîne publicitaire. Dans l’arrêt IAB Europe du 7 mars 2024 (C-604/22), la Cour de justice exige d’examiner l’influence réelle de chaque acteur sur les objectifs et les moyens des traitements concernés. La responsabilité de chaque acteur dépend donc de son rôle dans les traitements concernés.
Publicité ciblée : ce que les entreprises doivent vérifier dès maintenant
Cette décision invite les éditeurs d’applications, les plateformes publicitaires et les courtiers en données à contrôler concrètement leurs pratiques. Pour chaque traitement dont ils sont responsables, ils doivent identifier les données sensibles et, lorsqu’ils se fondent sur le consentement, vérifier qu’il est valable et couvre les usages prévus. Ils doivent aussi conserver les éléments permettant d’en apporter la preuve. Une garantie contractuelle fournie par un partenaire ne remplace pas ces vérifications.
En France, la CNIL avait déjà infligé une amende de 40 millions d’euros à Criteo le 15 juin 2023, notamment pour l’absence de preuve du consentement des internautes. Le Conseil d’État a confirmé cette sanction le 4 mars 2026 (n° 482872). Ce précédent est comparable sur la preuve du consentement ; il ne porte cependant pas sur une violation de l’article 9 relatif aux données sensibles.
Les pratiques actuelles doivent aussi respecter le règlement sur les services numériques (DSA). Son article 26, paragraphe 3, interdit aux plateformes en ligne soumises à cette disposition de présenter des publicités fondées sur un profilage utilisant des données sensibles. Même explicite, le consentement ne permet donc pas de rendre licite toute publicité ciblée.
L’enjeu est aussi humain. La diffusion d’informations révélant l’orientation sexuelle peut exposer les personnes LGBTQ+ à une divulgation de leur vie privée ou à des discriminations. La vérification des données et des consentements contribue à préserver leur maîtrise d’informations intimes.
***
Votre entreprise utilise la publicité ciblée ou partage des données avec des partenaires ? Un audit de conformité RGPD permet d’examiner les flux de données, les consentements et la répartition des responsabilités.
À lire également : pseudonymisation et données personnelles.
SOURCES :
- Datatilsynet, décision du 2 octobre 2026, n° 20/03541-37
- Datatilsynet, communiqué du 12 octobre 2026 sur la sanction de Xandr
- CJUE, 1er août 2022, OT, C-184/20
- CJUE, 4 juillet 2023, Meta Platforms e.a., C-252/21
- CJUE, 4 octobre 2024, Lindenapotheke, C-21/23
- CJUE, 7 mars 2024, IAB Europe, C-604/22
- RGPD, articles 6, 7 et 9 — CNIL
- RGPD, article 4 — CNIL
- Conseil d’État, 4 mars 2026, Société Criteo, n° 482872
- Règlement sur les services numériques (DSA), article 26, paragraphe 3
- Conseil norvégien des consommateurs, présentation de la plainte et de la sanction de Xandr
- noyb, présentation de la sanction du 12 octobre 2026
- PPC Land, analyse de la décision concernant Xandr
