Norvège amende Xandr 8,6 millions € pour les données sensibles Grindr partagées dans RTB sans base légale

L'Autorité norvégienne de protection des données (Datatilsynet) a imposé une amende administrative de 8,6 millions d'euros à Xandr - l'unité publicitaire liée à Microsoft - pour avoir transmis des données sensibles des utilisateurs Grindr à des tiers sans base juridique adéquate. L'organisme de réglementation qualifie l'infraction de «très grave»: les faits examinés se sont produits entre juillet 2018 et avril 2020 et, selon la décision, Xandr a servi d'intermédiaire dans les processus d'appel d'offres en temps réel (appel d'offres en temps réel, RTB) qui ont diffusé des données qui pourraient révéler l'orientation sexuelle des utilisateurs à des milliers d'acteurs potentiels de l'écosystème publicitaire.

Faits confirmés : Datatilsynet a conclu que Xandr agissait comme contrôleur conjoint avec Grindr et aurait donc dû vérifier et assurer le consentement explicite des personnes concernées avant de traiter et de communiquer ces données; au lieu de cela, Xandr a supposé que Grindr avait recueilli ce consentement. L'amende de 8,6 millions d'euros est la plus lourde imposée jusqu'à présent par l'autorité norvégienne, et Xandr dispose de trois semaines pour faire appel. Des groupes de protection de la vie privée, comme None Of Your Business (noyb), avaient soumis la demande aux organismes de réglementation ainsi qu'au conseil norvégien des consommateurs.

Comment fonctionne la fuite de données techniquement: Le cœur du problème est RTB, le système par lequel les espaces publicitaires sont mis aux enchères en millisecondes lorsqu'un utilisateur charge une page ou une application. Dans une vente aux enchères RTB, la plate-forme que vous intermédiaire (dans ce cas Xandr) transmet un paquet signal à plusieurs acheteurs - identifiants publicitaires, métadonnées de session, et dans ce cas les informations dérivées du profil utilisateur - pour que les annonceurs fassent des offres. Cette transmission de masse implique le partage de données avec de nombreux fournisseurs et nécessite un contrôle strict sur lesquels les attributs sont inclus et sur quelle base juridique ils sont traités. Selon la résolution, entre juillet 2018 et avril 2020, les données de Grindr qui pourraient impliquer l'orientation sexuelle ont été diffusées à de nombreux acheteurs par l'intermédiaire de Xandr, sans que Xandr ait vérifié le consentement légalement requis.

Ceux qui sont touchés et pourquoi il importe: ceux directement touchés sont des utilisateurs de Grindr en Norvège dont les signaux ou attributs ont été transmis en RTB. Cependant, la portée pratique est plus grande : lorsque des données sensibles sortent d'une application à des centaines ou des milliers d'acteurs publicitaires, le risque n'est pas seulement de recevoir des annonces ciblées; il est possible de les identifier de nouveau en croisant ces signaux avec d'autres ensembles de données, ce qui peut entraîner des écarts involontaires avec le placard, la discrimination, le chantage ou la stigmatisation. En outre, d'un point de vue systémique, la décision indique l'ensemble de la chaîne d'intermédiaires publicitaires: si une plateforme qui agit simultanément pour les acheteurs et les vendeurs ne vérifie pas la base juridique, elle peut être tenue responsable.

La sanction s'inscrit également dans une tendance réglementaire qui vise non seulement les dommages individuels, mais aussi les tentatives de corriger les défaillances structurelles du modèle commercial de la publicité basé sur la surveillance de masse. Le cas se présente à un moment où d'autres entreprises du secteur et des acteurs apparentés (par exemple Grindr dans le cadre d'un processus britannique) ont fait face à des actions et à des accords pour des pratiques similaires.

Conséquences réelles et prévisibles: Xandr peut faire appel immédiatement et l'amende peut être réduite ou confirmée; Microsoft a déclaré qu'il revoit la décision. Concrètement, la résolution crée un précédent juridique dans l'UE/EEE: les intermédiaires participant à la RTB et contrôlant des parties importantes du processus pourraient être chargés d'assurer le consentement et la transparence du traitement. Pour les utilisateurs et les annonceurs, cela peut entraîner des changements techniques (réduction de la transmission des attributs d'identification dans les enchères) et contractuels (clauses plus restrictives dans les contrats entre plateformes et éditeurs).

Ce qui est confirmé et ce qui reste incertain: confirmé: l'amende, la période visée par l'enquête, la notation de Xandr en tant que contrôleur conjoint pendant cette période et la responsabilité de la transmission des données sensibles. Résolution moins claire / en attente: le nombre exact d'utilisateurs touchés en Norvège, l'extension de la responsabilité à Microsoft pour les faits avant son acquisition de Xandr, et la portée du recours visant à modifier l'interprétation juridique des responsabilités dans RTB. Il s'agit également d'une estimation raisonnable - et non d'un chiffre officiel - que des « milliers » d'acteurs ont reçu des signaux; l'autorité parle de potentiel de masse, mais le dénombrement détaillé des destinataires ne peut pas être publié.

Pour l'écosystème publicitaire, la résolution implique une plus grande exposition aux sanctions si elles ne démontrent pas le respect actif du règlement général sur la protection des données (RGPD) à tous les stades du flux de données. Pour l'utilisateur, il souligne les risques spécifiques lors de l'utilisation d'applications qui traitent des informations sensibles.

Recommandations pratiques pour les utilisateurs: si vous utilisez Grindr ou d'autres applications qui manipulent des informations sensibles, prenez des mesures immédiates : examinez et ajustez les paramètres de confidentialité de l'application (visibilité limite du profil et partage des données), désactivez la personnalisation des annonces du système d'exploitation (iOS : "Limit Ad Tracking", Android : "Opt Out of Ads Personalization"), rétablissez votre identifiant publicitaire (Advertiser ID), et désinstallez la valeur de l'application ou créez un nouveau profil avec des données minimales si la confidentialité est une priorité. Exercer vos droits : demander aux responsables (Grindr et à qui convient) d'accéder aux données qu'ils traitent à votre sujet, de les corriger ou de les supprimer, ainsi qu'un dossier de tiers avec lesquels ils ont partagé ces informations. Si vous résidez dans l'UE / EEE, vous pouvez porter plainte auprès de l'autorité nationale de protection des données.

Pour les professionnels et les gestionnaires de la TI : examiner les contrats avec les intermédiaires publicitaires et les dossiers de traitement; mettre en place des contrôles techniques pour minimiser le partage des données dans la RTB (p. ex., anonymisation ou rédaction de signaux sensibles), effectuer des évaluations d'impact sur la protection des données propres à la RTB et veiller à ce que des clauses contractuelles imposent des obligations de vérification du consentement.

Cette affaire est pertinente parce qu'en plus de punir la conduite, elle exige un réexamen des pratiques techniques et commerciales dans un marché qui a jusqu'à présent accordé la priorité à l'échelle et à la rapidité du contrôle granulaire de la vie privée. Les utilisateurs doivent protéger leurs données sensibles avec des outils pratiques et les opérateurs de publicité doivent démontrer des changements techniques et contractuels ou prendre des risques juridiques plus importants.

Pour plus d'informations institutionnelles et les organisations qui ont soutenu la réclamation, voir la page de l'Autorité norvégienne de protection des données. https: / / www.datatilsynet.no et les communications du groupe de défense NOYB https: / / noyb.eu. La couverture de l'affaire par la presse et son contexte réglementaire se trouvent dans des fichiers multimédias tels que Reuters https: / / www.reuters.com.