Microsoft a hérité d’un problème de confidentialité de 9,6 millions de dollars lié à une entreprise qu’il a acquise plusieurs années après les violations présumées.
L’autorité norvégienne de protection des données, Datatilsynet, a infligé à Xandr, la filiale de Microsoft spécialisée dans les technologies publicitaires, une amende de 92 millions de couronnes norvégiennes (environ 9,6 millions de dollars) pour avoir traité illégalement des informations personnelles associées à des utilisateurs de Grindr. Ces pratiques ont eu lieu entre juillet 2018 et avril 2020, avant l’acquisition de Xandr par Microsoft en 2022.
La décision met en lumière un aspect de la publicité numérique que les utilisateurs voient rarement : les intermédiaires qui traitent des informations les concernant afin d’aider les annonceurs à se disputer les emplacements publicitaires. Elle montre également comment des violations de la vie privée commises avant une acquisition peuvent devenir un problème pour l’entreprise qui en prend ensuite le contrôle, même lorsque le nouveau propriétaire n’était pas responsable des pratiques initiales.
Selon la Norvège, Xandr a traité les données d’utilisateurs de Grindr sans consentement
Présentée comme la plus lourde amende jamais infligée par cet organisme de réglementation, la sanction impose à Xandr, filiale de Microsoft, de payer 92 millions de couronnes norvégiennes (environ 9,6 millions de dollars). L’autorité de contrôle affirme que la technologie publicitaire a traité ces données par l’intermédiaire de systèmes qui aident les annonceurs à acheter et à vendre des emplacements publicitaires.
Grindr étant une application de rencontre LGBTQ+, les informations associées à ses utilisateurs pourraient révéler leur orientation sexuelle, considérée comme une donnée à caractère personnel sensible au titre du Règlement général sur la protection des données (RGPD) de l’Union européenne.
BleepingComputer, citant l’agence, a indiqué que l’autorité de contrôle avait constaté que Xandr avait supposé que Grindr avait obtenu le consentement requis, sans toutefois le vérifier ni établir de base juridique valable pour ses propres traitements.
L’amende met fin à une procédure de plus de six ans, après le dépôt d’une plainte contre Xandr en janvier 2020 par Noyb, une organisation autrichienne à but non lucratif de défense des droits en matière de vie privée. L’entreprise dispose toutefois de trois semaines pour faire appel.
Pourquoi cette amende dépasse le seul cas de Xandr
Cette affaire met en lumière un aspect moins visible de la publicité numérique : les entreprises qui traitent en coulisses des informations personnelles afin d’aider les annonceurs à acheter et à vendre des emplacements publicitaires.
Les utilisateurs peuvent partager des informations avec une plateforme sans se rendre compte que des partenaires publicitaires et d’autres intermédiaires pourraient également recevoir ou traiter des données associées à leur activité.
C’est pourquoi les autorités de contrôle tiennent de plus en plus les entreprises de toute la chaîne de partage des données responsables de leur rôle. L’amende infligée à Xandr, filiale de Microsoft, pour les données d’utilisateurs de Grindr illustre la manière dont cette responsabilité peut s’étendre aux fournisseurs de technologies publicitaires, plutôt que de s’arrêter à l’application avec laquelle les utilisateurs interagissent.
Cette affaire n’est pas isolée. Hims & Hers, par exemple, a fait l’objet d’un examen attentif concernant sa gestion d’informations de santé sensibles, illustrant les risques pour la vie privée qui apparaissent lorsque des entreprises recueillent et utilisent des données sur des personnes d’une manière à laquelle celles-ci n’ont jamais consenti.
Même si les circonstances diffèrent de celles de l’affaire Xandr, la décision concernant Xandr illustre les risques réglementaires auxquels s’exposent les fournisseurs de technologies publicitaires qui s’appuient sur des données recueillies par d’autres entreprises, en particulier lorsque ces informations pourraient révéler des détails sensibles sur les utilisateurs.
Pour les entreprises opérant dans cet écosystème, cette affaire rappelle l’importance de vérifier le consentement et de comprendre leurs propres responsabilités avant de traiter des informations personnelles.
Vos données ne restent pas nécessairement sur la plateforme à laquelle vous les avez communiquées
Lorsque vous communiquez vos informations personnelles à une plateforme, vous pouvez vous attendre à ce qu’elles restent au sein de ce service et soient utilisées aux fins pour lesquelles vous vous êtes inscrit. Cependant, les services numériques s’appuient souvent sur des entreprises tierces pour la publicité, l’analyse et d’autres fonctions, ce qui signifie que les informations que vous fournissez à une plateforme peuvent être transmises à plusieurs autres parties.
Ainsi, une simple interaction avec un service peut exposer vos données à un réseau d’entreprises bien plus vaste que vous ne l’imaginez.
La situation est d’autant plus préoccupante lorsque les informations concernées peuvent révéler des détails sensibles sur votre vie. Les utilisateurs ont parfois peu de visibilité sur ces transferts, ce qui les empêche de savoir qui d’autre a accès à leurs informations ou comment celles-ci sont utilisées.
Cette affaire montre également que les obligations de conformité en matière de vie privée dépassent le cadre des plateformes avec lesquelles les utilisateurs interagissent directement. Les intermédiaires publicitaires ont leurs propres responsabilités lorsqu’ils traitent des informations personnelles, et s’en remettre aux pratiques de consentement d’une autre entreprise peut ne pas suffire à satisfaire les autorités de contrôle.
Pour Xandr, filiale de Microsoft, la question immédiate est de savoir si l’entreprise fera appel de la décision. Pour l’ensemble du secteur publicitaire, cette décision rappelle les risques liés au traitement d’informations sensibles sans base juridique clairement établie.
Autres actualités : Des chercheurs en sécurité ont détecté 135 tentatives d’exploitation ciblant une vulnérabilité critique de SonicWall SMA1000, deux jours seulement après la publication des correctifs.