Dans l'écosystème complexe de la publicité en ligne, chaque acteur est tenu de s'assurer de la licéité de ses propres traitements de données et ne peut se décharger de sa responsabilité sur les autres maillons de la chaîne, même en présence de relations contractuelles.

Faits et contexte

L'autorité norvégienne de protection des données (Datatilsynet) a publié une décision de sanction à l'encontre de la société de technologie publicitaire Xandr (désormais filiale de Microsoft), comprenant le prononcé d'une amende de 92 millions de couronnes norvégiennes (environ 7,8 millions d'euros) pour des manquements liés au traitement et au partage de données personnelles sensibles d'utilisateurs de l'application de rencontre Grindr. La décision est devenue définitive, Xandr n'ayant pas fait appel.

L'affaire a débuté par une plainte déposée en 2020 par le Conseil norvégien des consommateurs (Forbrukerrådet) concernant le partage de données d'utilisateurs dans le cadre d'enchères publicitaires en temps réel.

Motifs de la décision

• Obligation de disposer d'une base juridique pour le traitement de catégories particulières de données (article 9 du RGPD) : L'autorité a conclu que Xandr traitait des données révélant l'orientation sexuelle, ce qui constitue une catégorie particulière de données nécessitant un consentement explicite. En effet, le simple fait d'être utilisateur de Grindr, une application destinée aux hommes homosexuels et bisexuels, ainsi qu'aux personnes transgenres et queer, est une information indiquant l'orientation sexuelle. Xandr, agissant comme intermédiaire dans des enchères en temps réel, transmettait ces informations à des milliers d'acteurs de l'écosystème publicitaire sans avoir vérifié l'existence d'un consentement valable. L'autorité a rejeté l'argument de Xandr selon lequel la responsabilité d'obtenir le consentement incombait uniquement à Grindr, en soulignant que chaque responsable du traitement doit s'assurer de manière indépendante de la licéité de ses propres opérations de traitement. L'autorité a d'ailleurs qualifié Xandr de responsable conjoint du traitement avec Grindr, renforçant son obligation de s'assurer de la conformité.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 92 millions de couronnes norvégiennes (environ 7,8 millions d'euros) à Xandr. Pour déterminer ce montant, l'autorité a tenu compte de la gravité des manquements, de leur durée (de juillet 2018 à avril 2020), du gain financier direct pour l'entreprise et de son statut d'acteur majeur du secteur. Le calcul de l'amende a été basé sur le chiffre d'affaires de Xandr avant son acquisition par Microsoft, la période des infractions étant antérieure à cette opération.

Enseignements

Cette décision rappelle que :

• La responsabilité de la conformité au RGPD ne peut être déléguée ; chaque acteur d'une chaîne de traitement, y compris un intermédiaire technique, doit s'assurer et être en mesure de démontrer qu'il dispose d'une base juridique valable pour ses propres opérations de traitement.
• Le fait de se fier aux assurances d'un partenaire commercial (tel qu'un éditeur d'application) concernant l'obtention du consentement ne décharge pas un responsable du traitement de ses propres obligations de vérification, surtout lorsque des données sensibles sont traitées.
• Le simple fait d'utiliser une application manifestement destinée à une communauté spécifique peut constituer une indication sur l'orientation sexuelle de l'utilisateur, qualifiant ainsi cette information de catégorie particulière de données au sens de l'article 9 du RGPD.