La Norvège vient de frapper fort en infligeant une amende record à Xandr, une filiale de Microsoft. Accusée d’avoir relayé sans base légale des données sensibles issues de l’application Grindr, Xandr se retrouve au cœur d’un débat sur la protection des données personnelles à l’ère du numérique.
L’essentiel à retenir
- Xandr a été condamnée à une amende de 8,5 millions d’euros pour le partage illégal de données d’utilisateurs de Grindr.
- La Norvège applique le RGPD, bien qu’elle ne fasse pas partie de l’Union européenne, par le biais de l’Espace économique européen.
- L’amende est historique pour la Norvège, dépassant toutes les sanctions précédentes émises par la Datatilsynet.
Vous souvenez-vous de l’époque où Microsoft était principalement connu pour ses logiciels comme Windows et Office ? Aujourd’hui, l’entreprise s’est largement diversifiée et, à travers ses acquisitions, elle a renforcé sa présence dans le domaine de la publicité numérique. Xandr, sa filiale, est l’un des acteurs majeurs dans ce secteur, en participant activement aux enchères publicitaires en temps réel. Mais cette expansion n’est pas sans risque, comme le montre la récente affaire en Norvège.
Un consentement explicite nécessaire pour le traitement des données sensibles
Chaque semaine, nous sélectionnons les solutions les plus utiles pour les professionnels du digital : IA, productivité, marketing, création de contenu et business. Voici les outils que nous recommandons actuellement.
☁️ pCloud – Le stockage cloud sécurisé avec une offre à vie.
Sauvegardez vos fichiers, photos et documents importants avec plusieurs centaines de Go ou plusieurs To disponibles.
→ Découvrir l'offre pCloud
🛒 Shopify – Créez votre boutique e-commerce sans coder.
Une solution complète pour lancer, gérer et développer votre activité en ligne.
→ Tester Shopify gratuitement
🤖 Jasper – L'assistant IA pour accélérer votre marketing.
Création de contenus, campagnes publicitaires et idées marketing : gagnez du temps grâce à l'intelligence artificielle.
→ Découvrir Jasper
🎬 CapCut Pro – Le montage vidéo dopé à l'IA.
Créez rapidement des vidéos professionnelles avec des outils avancés et automatisés.
→ Tester CapCut Pro
📊 HubSpot CRM – Le CRM idéal pour structurer votre croissance.
Gérez vos prospects, vos ventes et vos campagnes marketing depuis une seule plateforme.
→ Découvrir HubSpot CRM
🧠 MindManager – Organisez vos idées et vos projets efficacement.
Un outil puissant pour créer des mind maps, structurer vos stratégies et mieux collaborer.
→ Découvrir MindManager
🇬🇧 Gymglish – Améliorez votre anglais professionnel chaque jour.
Des cours personnalisés et courts pour progresser facilement, quel que soit votre niveau.
→ Profiter de l'essai gratuit
🌍 Preply – Apprenez une langue avec un professeur particulier.
Trouvez un enseignant adapté à vos objectifs et progressez à votre rythme.
→ Trouver votre professeur
La décision de la Datatilsynet souligne l’importance du consentement explicite pour le traitement des données sensibles. Xandr, servant d’intermédiaire dans la publicité en ligne, a échoué à vérifier si Grindr avait obtenu ce consentement de ses utilisateurs. Ce manquement a conduit à la condamnation de Xandr, considérée coresponsable avec Grindr.
Les données partagées incluaient des informations délicates comme l’orientation sexuelle des utilisateurs, rendues encore plus sensibles par le fait que Grindr s’adresse principalement aux hommes gays, bisexuels, personnes trans et queer. Le RGPD impose une protection accrue pour ce type de données, un point sur lequel la justice norvégienne a insisté.
Les conséquences d’une diffusion non autorisée de données
Line Coll, directrice de la Datatilsynet, a mis en lumière les dangers d’une diffusion incontrôlée des données. Une fois que ces informations sont partagées, il devient difficile pour les utilisateurs de protéger leur vie privée. Les données peuvent être croisées pour dresser des portraits détaillés des utilisateurs, une situation que la régulation vise à éviter.
En ignorant ces règles, Xandr a permis que les données de Grindr soient accessibles à des milliers de sociétés. Cette situation démontre l’importance de la responsabilité partagée dans la chaîne de traitement des données, où chaque acteur doit s’assurer de la légalité de ses actions.
Une amende historique pour la Norvège
Avec une sanction de 92 millions de couronnes norvégiennes, cette amende est la plus élevée jamais infligée par la Datatilsynet. Elle reflète la gravité des infractions commises par Xandr et Grindr, et leur durée, qui s’étendait de juillet 2018 à avril 2020. La Norvège, bien que hors de l’Union européenne, applique le RGPD depuis 2018 via l’Espace économique européen, ce qui renforce la portée de cette réglementation.
La décision de sanctionner Xandr indépendamment de son acquisition par Microsoft en 2022 montre que les régulateurs se concentrent sur les responsabilités individuelles des sociétés, indépendamment de leur structure actuelle.
Le rachat par Microsoft : un tournant pour Xandr
L’acquisition de Xandr par Microsoft en juin 2022 a marqué une étape clé dans l’expansion de l’entreprise dans le domaine de la publicité numérique. Ce rachat a permis à Microsoft de renforcer ses capacités dans les enchères publicitaires en temps réel, un marché en pleine croissance.
Toutefois, cet incident en Norvège souligne les défis auxquels Microsoft doit faire face en matière de conformité réglementaire, un enjeu crucial pour maintenir la confiance des utilisateurs et des régulateurs à travers le monde.
Les défis de la protection des données dans la publicité numérique
Le secteur de la publicité numérique est confronté à des défis majeurs en matière de protection des données. Des entreprises comme Google et Facebook, qui dominent ce marché, sont souvent sous le feu des projecteurs pour leur gestion des informations personnelles.
Pour les entreprises comme Microsoft, qui cherchent à s’imposer dans ce domaine, garantir la conformité avec des réglementations complexes telles que le RGPD est essentiel. Cette affaire avec Xandr pourrait servir de leçon pour d’autres acteurs du secteur, en mettant l’accent sur l’importance d’une transparence totale et d’une responsabilité partagée dans le traitement des données sensibles.
FAQ sur l’affaire Xandr et la protection des données
Quelle est la nature de l’infraction commise par Xandr ?
Xandr a relayé des données sensibles d’utilisateurs de Grindr sans consentement explicite, ce qui constitue une violation des règles de protection des données.
Pourquoi la Norvège applique-t-elle le RGPD bien qu’elle ne soit pas dans l’UE ?
La Norvège fait partie de l’Espace économique européen, ce qui lui impose d’appliquer le RGPD pour harmoniser ses standards de protection des données avec ceux de l’Union européenne.
Comment cette amende affectera-t-elle Xandr ?
L’amende de 8,5 millions d’euros est un coup dur pour Xandr, soulignant la nécessité d’une meilleure conformité réglementaire et d’une révision de ses pratiques de gestion des données.
Quel impact cette affaire a-t-elle sur Microsoft ?
Bien que l’infraction ait eu lieu avant le rachat par Microsoft, l’incident met en lumière les défis que Microsoft doit relever pour s’assurer que toutes ses filiales respectent les normes de protection des données.