Données Grindr partagées aux annonceurs : la régie pub de Microsoft écope d'une amende record de 8,6 millions d'euros en Norvège
Le gendarme norvégien des données sanctionne Xandr, racheté par Microsoft, pour avoir diffusé sans consentement valable des données d'utilisateurs de Grindr révélant leur orientation sexuelle. C'est la plus grosse amende de son histoire.
Ouvrir une appli de rencontre et voir ses données atterrir chez des milliers d’annonceurs. C’est ce qu’ont subi des utilisateurs norvégiens de Grindr. Le 12 octobre 2026, l’autorité norvégienne de protection des données, la Datatilsynet, a infligé une amende de 92 millions de couronnes (environ 8,6 millions d’euros) à Xandr, une régie publicitaire rachetée par Microsoft en 2022.
C’est la plus grosse amende jamais prononcée par cette autorité.
Ce qui est reproché à Xandr
Les faits remontent à juillet 2018 à avril 2020, avant le rachat par Microsoft. À l’époque, Xandr organisait des enchères publicitaires en temps réel dans l’application Grindr.
Le principe : à chaque fois qu’un utilisateur ouvre l’appli, des informations sur lui sont envoyées à des annonceurs, qui enchérissent en quelques millisecondes pour lui afficher une pub. Ces données ont été traitées par Xandr et partagées avec ses clients.
Le problème, c’est qu’il s’agit de Grindr. Pour l’autorité norvégienne, le simple fait d’utiliser cette appli de rencontre destinée aux hommes gays, bi et trans révèle l’orientation sexuelle. Or le RGPD classe cette information parmi les données sensibles, qui exigent un consentement explicite.
« Ce n’est pas nous, c’est Grindr »
Xandr s’est défendu en expliquant que ses contrats interdisaient à ses clients de lui transmettre ce genre de données. La faute reviendrait donc à Grindr.
L’argument n’a pas convaincu. Pour la Datatilsynet, Xandr était responsable du traitement au même titre que Grindr. Il devait donc vérifier lui-même qu’un consentement valable existait, ce qu’il n’a pas fait. Chaque entreprise doit s’assurer de sa propre base légale.
L’autorité a aussi retenu une circonstance aggravante : Xandr a tiré un profit direct de ces pratiques. Le montant a été calculé sur le chiffre d’affaires de Xandr seul, et non sur celui de Microsoft, puisque les faits sont antérieurs au rachat.
La réaction de Microsoft
Microsoft souligne que l’enquête porte sur des faits antérieurs à son rachat de Xandr, qui fonctionne aujourd’hui sous le nom de Microsoft Advertising. Le groupe dit étudier la décision et ses options. Xandr dispose de trois semaines pour faire appel.
Une affaire lancée par des associations
Tout est parti d’une plainte déposée en janvier 2020 par le Conseil norvégien des consommateurs et l’association autrichienne noyb, fondée par le militant Max Schrems.
Grindr avait déjà été sanctionné dans ce dossier : 65 millions de couronnes d’amende en 2021, une décision confirmée depuis par la justice norvégienne. noyb salue une décision qui fait enfin payer un intermédiaire publicitaire, des acteurs « rarement tenus responsables de leurs pratiques », selon son avocat Felix Mikolasch.
Pourquoi ça nous concerne aussi
La sanction est norvégienne, mais le RGPD s’applique dans toute l’Europe, y compris en France. Cette décision envoie un message clair à toute l’industrie de la publicité en ligne : se cacher derrière les contrats de ses partenaires ne suffit pas. Quand des données sensibles circulent, chaque maillon de la chaîne doit vérifier que les utilisateurs ont vraiment dit oui.