La décision met en lumière la responsabilité individuelle de chaque acteur de la chaîne de la publicité en ligne, même en présence d'un responsable de traitement conjoint, et rejette la possibilité de se décharger de ses obligations de conformité sur un partenaire commercial.

Faits et contexte

L'autorité norvégienne de protection des données (Datatilsynet) a aujourd'hui publié une décision de sanction à l'encontre de Xandr (comprenant le prononcé d'une amende de 92 000 000 couronnes norvégiennes (environ 8 004 000 €)) pour des manquements en lien avec le traitement et le partage de données personnelles sensibles.

L'affaire trouve son origine dans une plainte déposée en 2020 par le Conseil norvégien des consommateurs, dénonçant le partage de données d'utilisateurs de l'application de rencontres Grindr.

Motifs de la décision

• Obligation d'établir une base juridique pour le traitement de catégories particulières de données (article 9 du RGPD) : Xandr, en tant qu'intermédiaire dans l'écosystème publicitaire, a participé à des enchères en temps réel impliquant des données d'utilisateurs de l'application Grindr. L'autorité a considéré que le simple fait d'être un utilisateur de cette application, destinée aux hommes homosexuels et bisexuels, ainsi qu'aux personnes transgenres et non-conformistes, constitue une donnée révélant l'orientation sexuelle. Ce type de données bénéficie d'une protection particulière et leur traitement exigeait un consentement explicite. Or, Xandr n'a pris aucune mesure pour s'assurer de l'existence d'un tel consentement, se contentant de présumer que Grindr en était responsable. L'autorité a rejeté cet argument, concluant que Xandr, qualifié de responsable conjoint du traitement avec Grindr, avait l'obligation de vérifier et de s'assurer de la validité de la base juridique pour son propre traitement, ce qu'il a omis de faire sur une période de près de deux ans, de juillet 2018 à avril 2020.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 92 000 000 couronnes norvégiennes (environ 8 600 000 €) à Xandr. Pour fixer ce montant, l'autorité a tenu compte de la gravité et de la durée des manquements, du bénéfice économique direct tiré par l'entreprise, et de sa position de leader dans le secteur de la technologie publicitaire. Le calcul a été basé sur le chiffre d'affaires propre de Xandr, et non sur celui de Microsoft, l'acquisition étant postérieure à la période des faits.

Enseignements

Cette décision confirme et rappelle que :

• La responsabilité en matière de protection des données ne peut être déléguée ; chaque responsable du traitement, y compris dans une relation de co-responsabilité, doit s'assurer de manière indépendante de la licéité de ses propres opérations de traitement.
• Le simple fait d'utiliser une application ou un service manifestement destiné à une communauté spécifique peut suffire à qualifier les données de l'utilisateur de catégorie particulière (par exemple, orientation sexuelle), déclenchant ainsi les protections renforcées du RGPD.
• Dans l'écosystème de la publicité en ligne, un acteur ne peut se décharger de sa responsabilité en invoquant la confiance placée dans un autre partenaire pour la collecte du consentement ; une vérification active est nécessaire.