Xandr condamnée : 8,5 millions d'euros pour une adtech restée dans l'ombre

Les faits : de la plainte de 2020 à l'amende du 12 octobre 2026

Plus de six années se sont écoulées entre la plainte initiale et la décision. En janvier 2020, le Conseil norvégien des consommateurs (Forbrukerrådet), épaulé par l'association noyb fondée par Max Schrems, déposait plainte contre Grindr ainsi que contre plusieurs sociétés de publicité en ligne qui recevaient les flux de données issus de l'application de rencontre. Grindr a été sanctionnée la première, en décembre 2021 : 65 millions de couronnes, une amende confirmée depuis par la cour d'appel.

Le 12 octobre 2026, le Datatilsynet, le gendarme norvégien des données, a statué sur l'un des dossiers restants : Xandr, anciennement AppNexus, désormais filiale de Microsoft, se voit infliger une amende de 92 millions de couronnes, approximativement 8,5 millions d'euros. C'est la plus élevée jamais prononcée par l'autorité.

Le motif se résume aisément : l'entreprise a traité des données personnelles, parmi lesquelles des informations touchant à l'orientation sexuelle, sans fondement juridique. Concrètement, nul n'avait véritablement accepté que son activité sur une application de rencontres destinée à un public gay serve à alimenter des profils publicitaires ensuite diffusés à des milliers d'annonceurs et d'intermédiaires. Xandr s'est défendue en expliquant qu'elle pensait que Grindr avait recueilli le consentement des utilisateurs. L'autorité a balayé l'argument : les acteurs de la chaîne ne peuvent pas se renvoyer la responsabilité, et Xandr est qualifiée de responsable conjoint du traitement, au même titre que l'application.

Une sanction qui sort des sentiers battus

Meta et Google ont déjà écopé de pénalités nettement plus salées. Mais il s'agissait de plateformes connues du grand public, dont chacun peut au moins nommer les services. Xandr joue dans un autre registre : un maillon d'infrastructure, serveur publicitaire et plateforme d'enchères, qui intervient aussi bien du côté des vendeurs d'espace que du côté des acheteurs, et que l'utilisateur ne voit jamais. Felix Mikolasch, juriste chez noyb, le résume en une phrase : ces sociétés opèrent à l'arrière-plan et sont rarement tenues de rendre des comptes.

C'est exactement ce qui rend cette décision précieuse, y compris pour les professionnels de la publicité programmatique. Des années durant, chacun a renvoyé la responsabilité au voisin : l'éditeur vers la plateforme de gestion du consentement, celle-ci vers le cadre de l'IAB, la plateforme d'achat vers l'éditeur. Le verdict norvégien tient en une ligne : réceptionner une donnée par le biais d'une requête d'enchère ne dispense pas d'un fondement juridique pour la traiter.

Ce que l'affaire révèle de vos données

Vous n'utilisez peut-être pas Grindr. Le mécanisme sanctionné, lui, vous concerne quoi qu'il arrive, et la décision pose trois jalons utiles à tout le monde.

Un identifiant publicitaire est une donnée personnelle

L'industrie a longtemps présenté les identifiants publicitaires et les adresses IP comme des informations « techniques », anonymes faute de nom et de prénom. L'autorité norvégienne les traite comme des données personnelles, tout simplement parce qu'elles permettent de reconnaître la même personne d'une application à l'autre et de lui rattacher un profil. La Cour de justice de l'Union européenne avait tranché dans le même sens en mars 2024 à propos de la chaîne de consentement du cadre de l'IAB. Si vous avez déjà cherché à comprendre comment les data brokers obtiennent vos informations, c'est par ce genre d'identifiants que les morceaux s'assemblent.

Le simple usage d'une application peut être une donnée sensible

Le Datatilsynet n'a pas eu besoin que Grindr transmette un champ « orientation sexuelle ». Le nom de l'application, présent dans la requête d'enchère, suffisait : utiliser Grindr révèle en soi une orientation sexuelle, ce qui place la donnée dans la catégorie protégée de l'article 9 du RGPD, celle qui exige un consentement explicite. Transposez à une application de suivi de grossesse, de santé mentale, de prière, de sevrage, ou à un site d'information syndical : chacun de ces usages dit quelque chose de vous que vous n'avez jamais décidé de confier à des annonceurs.

Le « partenaire » numéro 437 est aussi responsable que l'application

C'est le cœur de la décision. L'entreprise qui reçoit vos données au bout de la chaîne ne peut plus se retrancher derrière l'hypothèse que quelqu'un, en amont, aurait obtenu votre accord. Elle doit pouvoir le prouver elle-même. Pour vous, cela signifie que chacune des centaines de sociétés listées derrière un bandeau de cookies est individuellement comptable de ce qu'elle fait de vos informations, et individuellement tenue de répondre à vos demandes d'accès ou d'effacement. Le guide pratique du RGPD au quotidien explique comment les formuler.

Le consentement, l'éternel nœud du problème

Finn Myrstad, directeur de la politique numérique du Conseil norvégien des consommateurs, pousse le raisonnement plus loin : à ses yeux, si le consentement doit être véritablement informé et significatif, il devient difficile de justifier légalement une publicité bâtie sur la surveillance. On peut juger l'affirmation radicale. Elle a toutefois l'avantage de soulever le problème que le secteur esquive depuis 2018 : un bandeau accepté en un clin d'œil, qui ouvre la porte au partage de données avec plusieurs centaines de « partenaires », parfois plus de 800, constitue-t-il un consentement au sens du RGPD ?

Les autorités de contrôle répondent négativement de façon croissante. La CNIL a sanctionné des bandeaux où refuser demandait plus de clics qu'accepter. L'autorité belge, confirmée par la Cour de justice en 2024, a jugé que le cadre de consentement de l'IAB, utilisé par la majorité des sites européens, relevait lui-même du RGPD. Et chaque prononcé de ce genre restreint davantage la marge de manœuvre de ceux qui comptent sur l'immobilisme. Pour l'utilisateur, la conséquence pratique est simple : un consentement arraché n'en est pas un, et il peut être retiré à tout moment, aussi facilement qu'il a été donné.

Le paradoxe du Digital Omnibus

D'où une curieuse contradiction. Tandis qu'une autorité nationale punit le profilage dépourvu de consentement, la Commission européenne envisage, via le paquet « Digital Omnibus » présenté le 19 novembre 2025, de réformer le RGPD au nom de la simplification. Parmi les pistes figure une nouvelle lecture de la définition de la donnée personnelle : une information ne serait plus personnelle pour une entreprise qui n'a pas les moyens raisonnables d'identifier la personne concernée. D'après noyb, cette rédaction reviendrait à soustraire les identifiants de suivi en ligne du périmètre du règlement. Une telle orientation rendrait des dossiers comme celui de Xandr malaisés, voire inenvisageables, à instruire : l'intermédiaire qui ne connaît que votre identifiant publicitaire pourrait soutenir qu'il ne traite aucune donnée personnelle.

Le texte attend encore l'arbitrage du Parlement européen et du Conseil ; rien n'est joué, et le Comité européen de la protection des données comme le Contrôleur européen ont déjà exprimé leurs réserves. L'industrie n'en vit pas moins une situation pour le moins singulière : des régulateurs nationaux qui musclent l'application du droit, face à une Commission tentée par son relâchement. Pour tout acteur de la publicité en ligne, la conclusion s'impose d'elle-même : éviter de construire sa stratégie sur un allègement réglementaire qui n'est pas garanti. Pour vous, la conclusion est symétrique : vos droits d'aujourd'hui sont ceux du RGPD en vigueur, et ils s'exercent maintenant.

Ce que vous pouvez faire dès maintenant

Aucune amende ne retire vos données des bases où elles se trouvent déjà. Trois niveaux d'action, du plus immédiat au plus durable.

• Refuser, plutôt qu'accepter par réflexe. Sur chaque bandeau de consentement, cherchez « Tout refuser » ou « Continuer sans accepter ». Une liste de 800 partenaires n'est pas une information, c'est un aveu.
• Couper l'identifiant qui vous suit d'une application à l'autre. Sur iPhone comme sur Android, l'identifiant publicitaire se désactive ou se réinitialise en quelques gestes ; les chemins exacts sont dans notre guide simple de protection des données personnelles. Dans le navigateur, un bloqueur de traqueurs réduit la part de votre navigation qui alimente les enchères, avec les limites que nous détaillons dans pourquoi les bloqueurs de publicité montrent leurs limites.
• Agir sur ce qui a déjà été collecté. Les profils constitués au fil des années vivent chez des courtiers en données et des marchands qui ne vous connaissent que par vos identifiants. Le RGPD vous donne un droit à l'effacement (article 17) et un droit d'opposition à la prospection (article 21), opposables à chacun d'eux. C'est le travail de fond, long et répétitif, que Sheeldy automatise.