par Gabriel Avigdor

En bref

Le 12 octobre 2026, l’autorité norvégienne de protection des données a infligé 92 millions de couronnes (environ 8,5 millions d’euros) à Xandr, filiale de Microsoft et ancienne AppNexus, pour avoir traité sans base légale des données issues de Grindr, dont l’orientation sexuelle. C’est le dénouement d’une plainte de 2020 que j’analysais ici même.

En janvier 2020, je consacrais un long dossier au rapport « Out of Control » du Conseil norvégien des consommateurs. J’y listais les trois plaintes déposées à Oslo, dont la première visait « Grindr, Twitter MoPub, AppNexus and OpenX ». AppNexus a depuis changé de nom : rachetée par AT&T puis par Microsoft, elle s’appelle Xandr. Six ans plus tard, c’est donc cette plainte n° 1 qui trouve sa conclusion.

Le constat de 2020 n’a pas pris une ride et demeure pleinement valable.

Chaque ouverture d’une application gratuite déclenche une cascade de transmissions vers des dizaines d’acteurs publicitaires dont l’utilisateur ignore jusqu’au nom. Grindr servait d’exemple d’école, parce que le simple fait d’utiliser l’application dit déjà quelque chose de très intime. Après Grindr, sanctionné dès 2021 et dont le recours a échoué, c’est au tour d’un destinataire de ces données de passer à la caisse. L’autorité a retenu que Xandr avait traité des données personnelles, y compris des données sensibles sur l’orientation sexuelle, sans base juridique valable.

Pourquoi cette décision compte

Le montant, modeste à l’échelle de Microsoft, n’est pas le plus intéressant. C’est la cible. Les sanctions frappaient surtout l’éditeur de l’application, celui qui laisse « fuir » les données. On remonte ici la chaîne jusqu’au receveur, cet intermédiaire que personne n’a jamais vu signer quoi que ce soit.

J’écrivais en 2020 que les « autres vendeurs » devaient être qualifiés au cas par cas, sous-traitants ou responsables. La réponse norvégienne est claire: “celui qui exploite les données pour son propre compte doit démontrer sa propre base légale. Il ne peut pas se retrancher derrière un consentement prétendument recueilli par un autre“.

Pour des données de santé avec la nécessité de justifier une dérogation au sens de l’art. 9 RGPD, cela signifie un consentement explicite, que l’enchère en temps réel n’a jamais vraiment su justifier, ni produire comme preuve.

La décision s’inscrit dans une jurisprudence désormais cohérente. La CJUE a jugé en 2024 (C‑604/22, IAB Europe) que la chaîne de consentement du “Transparency & Consent Framework” contient des données personnelles et que son architecte peut être responsable conjoint (“joint controller” selon l’article 26 RGPD). Dans Schrems c. Meta (C‑446/21), elle a rappelé que la minimisation s’applique aussi à la publicité ciblée, et que le fait d’avoir évoqué publiquement son orientation sexuelle n’autorise pas sa réutilisation publicitaire. En France, le Conseil d’État a confirmé l’amende de 40 millions d’euros contre Criteo. Le message est dès lors constant : dans le domaine de l’adtech (technologies liées à la publicité), l’ignorance de la chaîne n’est pas une défense possible ni soutenable.

Et en Suisse ?

En 2020, je regrettais que le Préposé fédéral ne puisse émettre que des recommandations et que la révision de la LPD se contente d’amendes pénales personnelles jusqu’à CHF 250’000. C’est exactement le régime en vigueur depuis septembre 2023.

La nLPD a toutefois renforcé le fond : l’orientation sexuelle est une donnée sensible (art. 5 let. c), et l’établissement d’un profil d’intérêts aussi détaillé relève assez clairement du profilage à risque élevé (art. 5 let. g), qui exige un consentement exprès lorsqu’un consentement est requis (art. 6 al. 7 LPD). Le PFPDT peut désormais rendre des décisions contraignantes. Pas d’amende administrative à la norvégienne donc, mais une responsabilité pénale personnelle qui n’a rien de confortable. Et toute entreprise suisse qui cible des utilisateurs européens reste de toute façon soumise au RGPD (art. 3 par. 2).

Le paradoxe du calendrier

Ironie de la situation, la décision tombe au moment où la Commission européenne discute, dans le cadre du « Digital Omnibus », une redéfinition qui pourrait sortir certains identifiants de suivi du champ du RGPD. On sanctionne à Oslo ce que Bruxelles envisage de rendre plus difficile à sanctionner. Je ne prendrai pas parti dans un débat législatif encore ouvert, mais bâtir sa conformité sur une réforme non adoptée, et qui ne couvrirait de toute façon pas les données sensibles, serait imprudent.

À retenir

Les destinataires de données dans la chaîne publicitaire répondent de leur propre base légale. Les données révélant indirectement une catégorie sensible, comme l’application utilisée ou un lieu fréquenté, sont traitées comme sensibles. Pour les éditeurs d’applications de santé, de bien-être ou de rencontre, un audit des SDK publicitaires et des flux vers les plateformes d’enchères n’est plus un luxe. En Suisse, profilage à risque élevé et données sensibles appellent un consentement exprès, avec une responsabilité pénale personnelle à la clé.

En 2020, je concluais que l’avenir dirait si le droit influencerait les modèles d’affaires de la publicité en ligne. Il aura fallu six ans pour une première réponse. En protection des données, c’est presque de la vitesse !

Sources : noyb, 12 octobre 2026 ; Datatilsynet ; Forbrukerrådet, Out of Control. Photo : Daniel Bertrams / Unsplash.

Gabriel Avigdor | gabriel.avigdor@datalex.ch