Amende Xandr : la responsabilité du consentement ne se sous-traite pas

Xandr, des deux côtés de l’enchère

La plainte date du 14 janvier 2020. Le Forbrukerrådet, le conseil norvégien des consommateurs, a saisi l’autorité au nom d’une personne concernée contre Grindr, Xandr et quatre autres sociétés de la publicité en ligne, en s’appuyant sur son rapport « Out of Control » et sur des tests techniques commandés à la société de sécurité mnemonic. L’enquête porte sur la version gratuite de l’application et sur la période du 20 juillet 2018, date d’entrée en vigueur du RGPD en Norvège, au 7 avril 2020, veille du déploiement, pour les utilisateurs norvégiens, d’une nouvelle plateforme de consentement dans l’application.

Le mécanisme est celui des enchères en temps réel. Quand un espace publicitaire doit s’afficher, l’application envoie une demande d’annonce à une plateforme qui le met en vente. Celle-ci adresse à des acheteurs potentiels une demande d’enchère qui décrit l’emplacement, l’appareil et l’utilisateur, et l’annonce du plus offrant s’affiche, en une fraction de seconde. Un seul acheteur remporte l’enchère, tous ont lu la demande.

Xandr occupait les deux côtés. Plateforme côté vendeur, elle aidait Grindr à mettre ses espaces publicitaires en vente, en recevant les demandes directement de Grindr. Plateforme côté acheteur, elle enchérissait pour des annonceurs sur ces mêmes espaces, y compris sur les demandes qui lui parvenaient par MoPub, alors propriété de Twitter. Le SDK de MoPub, une brique logicielle tierce intégrée à l’application, envoyait les demandes d’annonce de Grindr aux serveurs de MoPub ; MoPub les relayait ensuite à ses partenaires publicitaires.

Xandr a confirmé avoir reçu des demandes d’enchère portant sur des utilisateurs norvégiens de Grindr et avoir traité les données qu’elles contenaient, mais dit ne plus pouvoir identifier lesquelles. L’autorité s’en tient donc au minimum établi. Selon le standard de preuve qu’elle applique, une nette prépondérance des probabilités, Xandr a traité au moins trois données : le fait que la personne utilisait Grindr, son identifiant publicitaire et son adresse IP. Elle relève que la liste des fournisseurs tiers de Xandr comptait alors plus de 4 000 sociétés, enchérisseurs et fournisseurs de données compris, et que les utilisateurs ne pouvaient pas savoir précisément lesquelles avaient reçu leurs données.

Le nom de l’application, une donnée sensible

Prise seule, chacune de ces trois données paraît banale. Réunies, elles disent qu’une personne identifiable utilise Grindr, et cette information révèle, pour l’autorité, son orientation sexuelle. Elle relève donc de l’article 9 du RGPD, qui interdit le traitement de ces données sauf exception ; la seule qui restait ici était le consentement explicite. Le raisonnement n’est pas neuf. C’était celui de la décision contre Grindr, confirmé par la commission norvégienne des recours en matière de protection des données, le tribunal d’Oslo puis la cour d’appel de Borgarting. La décision Xandr le rattache à la jurisprudence de la Cour de justice de l’Union européenne, qui, résume-t-elle, lit largement la notion de donnée sensible : celle-ci couvre aussi les données susceptibles de révéler indirectement une information sensible, par exemple la fréquentation d’applications liées à l’une des catégories de l’article 9, que l’information révélée soit exacte ou non.

La décision ne porte que sur les utilisateurs de Grindr en Norvège et ne juge ni Grindr ni MoPub, mais sa portée pour les applications est concrète. Les trois données retenues correspondent à trois champs du format standard des enchères, la spécification OpenRTB de l’IAB Tech Lab : l’identifiant de l’application dans son magasin, qui est sur Google Play le nom de paquet, l’adresse IP de l’appareil et l’identifiant publicitaire fourni par le système. La spécification juge utile de fournir au minimum un identifiant de l’application, celui que lui attribue la plateforme ou celui de son magasin, sans l’exiger strictement. Suivant le même raisonnement, dès qu’une demande d’enchère nomme, à côté d’identifiants comme ceux-là, une application dont l’usage même révèle une catégorie de l’article 9, par exemple la santé, les convictions religieuses, la vie sexuelle ou l’orientation sexuelle, elle transporte cette information.

Un contrat ne remplace pas une vérification

Xandr n’a jamais recueilli elle-même de consentement auprès des utilisateurs. Elle s’en remettait à Grindr, que ses contrats obligeaient à obtenir un consentement valable lorsqu’il était requis. Or les consentements recueillis par Grindr ne l’étaient pas : l’autorité avait jugé en 2021 que ceux de son ancienne plateforme de consentement n’étaient ni libres, ni spécifiques, ni éclairés, ni univoques, et qu’ils n’étaient pas aussi simples à retirer qu’à donner.

La décision écarte cette défense. Deux responsables conjoints doivent chacun disposer d’une base légale pour leur traitement. Il est possible, et parfois nécessaire, de convenir que l’un recueille le consentement pour le compte de l’autre, mais seulement si les deux s’assurent que ce consentement remplit toutes les conditions des articles 4(11) et 7 du RGPD, qu’il est documenté et qu’il couvre les traitements de chacun. La conformité, écrit l’autorité, ne peut jamais être sous-traitée. Responsabilité conjointe ne veut pas dire responsabilité égale, rappelle-t-elle, et c’est Grindr qui recueillait le consentement. Mais Xandr n’avait pris aucune mesure pour vérifier la validité des consentements ni ce qu’ils couvraient. L’autorité ajoute qu’un acteur placé plus loin dans la chaîne, sans contact direct avec les personnes, avait d’autant plus de raisons de vérifier. Les orientations publiées dès cette époque par le groupe de travail « Article 29 » sur le consentement l’auraient aidée, selon l’autorité, à voir que le mécanisme de Grindr ne respectait pas le RGPD.

Xandr faisait aussi valoir que son contrat-cadre interdisait à Grindr de lui transmettre des données sensibles. Une telle clause, répond l’autorité, ne l’exonère pas dès lors que Xandr a, en fait, traité des données de l’article 9, et il importe peu, rappelle-t-elle en citant la Cour de justice, que le responsable ait cherché ou non à obtenir ce type d’information. La clause montre même, relève l’autorité, que Xandr donnait à Grindr des instructions sur les catégories de données à lui transmettre.

La CNIL pose la même exigence à l’autre bout de la chaîne. Sa recommandation sur les applications mobiles demande à l’éditeur, pour les traitements qui relèvent de sa responsabilité, de s’assurer du respect des droits des personnes, consentement compris, « même quand leur mise en œuvre pratique dépend d’un tiers ». La décision norvégienne l’applique au tiers qui dépend de l’éditeur. Line Coll, directrice générale de l’autorité, le résume dans le communiqué : la responsabilité de la protection des données ne peut pas être reportée sur d’autres, et chaque entreprise doit s’assurer elle-même, et pouvoir prouver, qu’elle traite les données de façon licite. Quand les acteurs se renvoient la responsabilité, ajoute-t-elle, les droits des utilisateurs deviennent en pratique sans valeur.

Côté vente, personne ne se disait responsable

Xandr reconnaissait être responsable conjointe quand elle enchérissait pour des annonceurs, et responsable du traitement pour quelques finalités propres, comme le plafonnement de la répétition des annonces, la sécurité, la lutte contre la fraude ou l’amélioration de sa plateforme. Pour le reste de la vente des espaces de Grindr, elle soutenait n’agir qu’en sous-traitant : Grindr et MoPub disposaient d’une console où choisir les catégories de données envoyées dans les demandes d’enchère et les acheteurs autorisés à les recevoir, et ces réglages valaient instructions. Grindr, de son côté, contestait toute relation de responsable à sous-traitant avec Xandr. Aucun des deux ne se reconnaissait donc responsable de ce traitement, constate l’autorité, et une personne qui aurait voulu exercer ses droits n’aurait trouvé d’interlocuteur ni d’un côté ni de l’autre. Un accord formel, écrit l’autorité, ne peut pas régler une situation où personne n’assume en pratique la responsabilité du traitement.

L’autorité s’appuie notamment sur les réglages par défaut. C’est Xandr qui fournissait le cadre de ces choix, y compris la liste des acheteurs avec lesquels Grindr pouvait traiter et qu’il pouvait exclure. Quand Grindr ne modifiait rien, les demandes d’enchère circulaient selon les standards retenus par Xandr, vers les partenaires qu’elle avait intégrés à sa plateforme. Ce cadre lui donnait, selon la décision, une influence tangible sur les finalités et les moyens d’un traitement qu’elle poursuivait aussi pour son propre compte, en enrichissant les demandes et, ce que Xandr conteste, en améliorant sa plateforme. Au sens de l’arrêt IAB Europe de la Cour de justice, qu’elle cite, cela fait de Xandr une responsable conjointe aussi quand elle vendait ; quand elle achetait, Xandr l’avait déjà reconnu.

La recommandation de la CNIL fait des réglages par défaut une exigence pour les fournisseurs de SDK, sur les traitements dont ils sont responsables, dès la conception de leur service : proposer des configurations par défaut qui respectent la minimisation, jusque dans les exemples de leur documentation, et éviter de collecter ou de conserver des identifiants de terminal ou de réseau pouvant être reliés à des individus, l’adresse IP comprise, quand l’usage du SDK ne le nécessite pas.

Ce que disait la documentation, ce que montraient les tests

La décision relève en passant, en reprenant le rapport du Forbrukerrådet et sans se prononcer sur MoPub, dont elle n’examine pas les activités, que la documentation du SDK de MoPub le présentait comme tronquant l’adresse IP des utilisateurs de l’Union et de l’Espace économique européen, pour la pseudonymiser et respecter le RGPD. Les tests techniques ont pourtant montré qu’il transmettait l’adresse IP complète à Xandr.

Ces mêmes tests, menés par mnemonic du 8 juillet au 31 décembre 2019 sur les données qui quittaient l’application, confirment que Xandr recevait, depuis l’application Grindr et par l’intermédiaire de MoPub, le nom de l’application, l’identifiant publicitaire et l’adresse IP des utilisateurs ; Xandr l’a reconnu lors d’une réunion avec l’autorité en février 2025. Plus de six ans après, la décision s’appuie encore sur eux, avec les déclarations et les documents de Xandr, pour dire ce que l’application envoyait. Xandr, elle, n’a pas pu produire certains documents demandés, qu’elle dit avoir supprimés en application de ses politiques de conservation entre juillet 2020 et février 2023, alors qu’elle savait depuis le 21 février 2020 que l’autorité enquêtait. L’autorité refuse que cette suppression joue en sa faveur : la charge de démontrer la conformité pèse sur le responsable, et admettre l’argument inciterait les entreprises à effacer leur documentation pour échapper au contrôle.

La documentation d’un SDK décrit ce que son fournisseur entend faire, un contrat ce que les parties se promettent ; seule l’observation de ce qui quitte le téléphone dit ce que l’application envoie, à qui, et à quel moment. La recommandation de la CNIL le prévoit d’ailleurs pour l’éditeur, à titre de bonne pratique : monter, ou confier à un prestataire, un banc de tests qui intercepte les communications réseau d’un téléphone ou d’un émulateur, pour vérifier ses outils de recueil du consentement. Encore faut-il que cette observation soit datée et conservée par celui qui devra en rendre compte.

Une amende calculée sur Xandr seule

L’autorité juge les manquements d’une gravité élevée : ils portent sur certaines des dispositions les plus centrales du RGPD, données sensibles comprises, ont duré près de deux ans et relèvent du cœur de l’activité de Xandr. Elle compte aussi comme circonstance aggravante l’avantage financier que Xandr en a tiré, et retient deux circonstances atténuantes : la durée de l’instruction et la participation volontaire de Xandr à une réunion destinée à établir les faits, que l’autorité ne tient que pour légèrement atténuante. Le montant est calculé sur le chiffre d’affaires de Xandr, et non sur celui de Microsoft, qui ne la possédait pas à l’époque des faits ; 4 % de ce chiffre d’affaires restant inférieurs à 20 millions d’euros, c’est ce dernier montant qui fixait le plafond légal.

La décision n’était pas définitive à sa publication. Xandr disposait de trois semaines à compter de sa réception pour la contester ; si l’autorité maintenait sa décision, le recours serait porté devant cette commission des recours.

Ce que la décision change pour une application et ses partenaires

En 2021, l’éditeur répondait du consentement qu’il recueillait ; en 2026, son partenaire en répond aussi, pour son propre traitement, sans pouvoir se retrancher derrière un contrat. Dans une chaîne publicitaire, le consentement recueilli par l’application est la base légale de chacun de ceux qui s’en servent, et chacun doit pouvoir montrer qu’il l’a vérifié, à la mesure de son rôle.

Pour nous, cette vérification commence dans l’application. Ce qu’un acteur de la publicité reçoit sur ses serveurs dit ce qui lui a été transmis, par l’application ou par un intermédiaire qui a pu l’enrichir ; il ne dit ni comment le choix a été obtenu, ni ce que l’application a envoyé à d’autres avant ce choix. C’est l’autre face d’un constat que nous faisions sur la monétisation : un consentement qui n’atteint pas l’acheteur se monétise comme un refus. La décision Xandr montre qu’un consentement invalide expose aussi ceux qui le reçoivent.

Concrètement, une application qui vend ses espaces publicitaires peut se poser quelques questions. Quels acteurs tiers contacte-t-elle directement, avant tout choix de l’utilisateur et après un refus, sachant que chacun reçoit au moins l’adresse IP publique depuis laquelle l’appareil se connecte ? Quels identifiants leur envoie-t-elle ? Le choix de l’utilisateur les atteint-il ? Son usage même révèle-t-il une catégorie de données sensibles, auquel cas, selon le raisonnement de l’autorité norvégienne, le nom de paquet qu’elle transmet avec un identifiant publicitaire ou l’adresse IP devient lui-même une donnée sensible ? Et les réglages par défaut de ses SDK publicitaires ont-ils été relus, ou simplement acceptés ?

Ces questions se vérifient dans ce que l’application envoie, et elles se posent aussi bien à l’éditeur qu’à la régie ou à l’acteur de l’adtech qui s’appuie sur son consentement. Skanopy pilote automatiquement l’application Android sur un vrai téléphone et relève, avant et après le choix de l’utilisateur, les acteurs tiers que l’application contacte, ce qu’elle leur envoie et ceux qui reçoivent ce choix, et date chaque constat, version après version. C’est tout l’objet d’une analyse d’application mobile : elle ne dit pas le droit, elle fournit la pièce datée sur laquelle le droit s’applique.

Sources

Chaque constat de cet article renvoie à l’un de ces documents.

1. Datatilsynet ’26Microsoft company fined NOK 92 millionDatatilsynet, 12 octobre 2026
2. Datatilsynet ’26Administrative fine - Unlawful processing of personal dataDatatilsynet, décision du 2 octobre 2026, réf. 20/03541-37, version publique
3. CEPD ’26Norwegian DPA fines Xandr EUR 8 600 000 for unlawful processing of personal dataComité européen de la protection des données, 16 octobre 2026
4. Datatilsynet ’25The Court of Appeal upholds the fine against GrindrDatatilsynet, 21 octobre 2025
5. Datatilsynet ’25Gebyret mot Grindr blir ståendeDatatilsynet, 21 octobre 2025, mis à jour le 26 novembre 2025 (en norvégien)
6. Forbrukerrådet ’20Out of Control: How consumers are exploited by the online advertising industryForbrukerrådet, 14 janvier 2020
7. CNIL ’25Recommandation relative aux applications mobilesCNIL, délibération n° 2025-024 du 27 mars 2025 (version modifiée publiée le 8 avril 2025)
8. OpenRTB 2.6OpenRTB 2.6, sections « Object: App » et « Object: Device »IAB Tech Lab
9. RGPDRèglement (UE) 2016/679, articles 6, 9 et 26Journal officiel de l’Union européenne