Une personne ouvre une application de rencontre. En une fraction de seconde, une requête part vers une plateforme d’enchères, puis vers des acheteurs qui décident de lui montrer ou non une annonce. Elle ignore la plupart de ces maillons. Chacun traite pourtant des données sur elle, et chacun se repose sur le premier pour avoir obtenu son accord.
C’est ce réflexe que l’autorité norvégienne de protection des données, Datatilsynet, vient de sanctionner. Par une décision du 2 octobre 2026, rendue publique le 12 octobre, elle a infligé une amende de 92 millions de couronnes norvégiennes à Xandr, plateforme de publicité programmatique connue jusqu’en 2019 sous le nom d’AppNexus et rachetée par Microsoft en 2022. Le Comité européen de la protection des données (CEPD) a relayé la décision le 16 octobre.
Un intermédiaire publicitaire qui se fie au consentement recueilli par l’éditeur répond quand même de ce consentement, et une clause de contrat ne le couvre pas.
Ce que la décision établit
L’affaire part d’une plainte déposée le 14 janvier 2020 par le Conseil des consommateurs norvégien, avec l’association noyb, contre l’application Grindr et plusieurs sociétés publicitaires, dont AppNexus. Grindr s’adresse aux personnes gays, bi, trans et queer. Datatilsynet retient qu’être utilisateur de Grindr constitue en soi une donnée concernant l’orientation sexuelle, catégorie protégée par l’article 9 du RGPD. Grindr avait déjà été sanctionnée : 65 millions de couronnes en décembre 2021, décision confirmée jusqu’à la cour d’appel de Borgarting le 21 octobre 2025.
Pour Xandr, l’autorité juge établi, « par une nette prépondérance de probabilité », que la plateforme a traité au moins 3 données des utilisateurs norvégiens pendant les enchères en temps réel : le fait d’utiliser Grindr, l’identifiant publicitaire de l’appareil et l’adresse IP. Elle qualifie Xandr de responsable conjoint du traitement avec Grindr, à la fois comme plateforme côté vendeur, qui met l’espace publicitaire en vente, et comme plateforme côté acheteur, qui enchérit pour des annonceurs. L’autorité retient 2 manquements : un traitement sans base légale (article 6, paragraphe 1) et un traitement de données sensibles sans exception valable (article 9, paragraphe 1). La période examinée court du 20 juillet 2018 au 7 avril 2020.
Le cœur du raisonnement tient en une phrase de la décision : « accountability cannot be outsourced », la responsabilité ne s’externalise pas. Xandr ne recueillait aucun consentement elle-même. Elle s’appuyait sur celui de Grindr, que l’autorité avait jugé invalide dès 2021, et sur une clause de son contrat-cadre interdisant à Grindr de lui transmettre des données sensibles. L’autorité écarte les 2 arguments. La clause est qualifiée de simple « formalité » qui ne dégage pas Xandr dès lors qu’elle a reçu ces données dans les faits, et la décision constate que Xandr n’a pris « aucune mesure » pour vérifier que les consentements étaient valides et couvraient ses propres traitements.
Le montant mérite une précision. La décision convertit 92 millions de couronnes en « environ 8 500 000 euros », au taux de 10,79 couronnes pour 1 euro publié par la banque centrale norvégienne le 15 septembre 2026. Le communiqué de l’autorité et la note du CEPD affichent 8,6 millions d’euros. Selon Datatilsynet, c’est sa plus forte amende. Elle a été calculée sur le chiffre d’affaires de Xandr seule, et non sur celui de Microsoft, qui ne contrôlait pas la société pendant la période en cause.
Ce qui reste ouvert
La décision ne dit rien des pratiques actuelles de Microsoft Advertising. Elle porte sur une période antérieure au rachat, ce que Microsoft a souligné dans sa réaction à la presse. Elle ne mesure pas l’ampleur réelle de la diffusion : l’autorité écrit ne pas savoir combien de requêtes d’enchères liées à Grindr Xandr a reçues ou transmises, et n’a donc accordé aucun poids à ce critère dans le calcul. Elle n’est pas non plus définitive, et l’échéance exacte du recours n’est pas publiée.
Elle ne s’applique pas en France. La CNIL n’est liée ni par la décision ni par son raisonnement. Ce qui est commun aux 2 pays, c’est le texte : les articles 5, 7, 24 et 26 du RGPD que la décision mobilise, et la jurisprudence de la Cour de justice de l’Union européenne qu’elle cite, notamment l’arrêt IAB Europe sur le cadre de consentement du secteur publicitaire.
Qui recueille le consentement, qui en répond
La décision décrit la chaîne telle que Xandr l’a exposée à l’autorité. L’utilisateur ouvre l’application ; un emplacement publicitaire déclenche une requête, envoyée directement par l’éditeur ou par un outil de médiation intégré à l’application, ici MoPub. La plateforme côté vendeur la complète auprès de fournisseurs de données (segments d’audience, contexte), puis l’adresse comme demande d’enchère à sa propre plateforme d’achat et à d’autres. L’annonce gagnante s’affiche.
Dans cette chaîne, un seul acteur est en contact avec la personne : l’éditeur, qui affiche la fenêtre de consentement. Tous les autres reçoivent une donnée, et souvent un signal indiquant que l’accord a été donné. La question tranchée à Oslo porte sur la valeur de ce signal pour celui qui le reçoit. La réponse de l’autorité est nette : chaque responsable conjoint doit disposer de sa propre base légale, s’assurer que le consentement remplit toutes les conditions du RGPD et qu’il couvre ses propres traitements. Un responsable peut confier à un autre le recueil du consentement. Il ne peut pas lui confier la preuve.
Le signal de consentement qui circule dans une enchère publicitaire vaut ce que vaut la fenêtre qui l’a produit, et chaque acheteur de ce signal en répond.
Le raisonnement n’est pas propre à la Norvège ni à la publicité programmatique. En France, la CNIL a sanctionné le 15 mai 2025 la société Solocal Marketing Services de 900 000 euros, sur une autre chaîne : des données de prospects achetées à des courtiers, utilisées pour des campagnes par SMS et courriel. La formation restreinte y écrit que la société, utilisatrice des données, « doit s’assurer que les personnes ont exprimé un consentement valide », et que ses exigences contractuelles envers ses fournisseurs étaient « manifestement insuffisantes ». L’injonction a été clôturée le 17 septembre 2026, après la mise en place d’une vérification des formulaires de collecte de ses partenaires. Notre analyse de la doctrine de la CNIL sur les adresses professionnelles devinées montre la même exigence en prospection entre entreprises : savoir dire à la personne d’où vient sa donnée.
Qui décide quoi
La compétence de Datatilsynet n’allait pas de soi pour une société américaine. La décision l’explique. Selon Xandr, ses bureaux dans l’Espace économique européen n’avaient aucun pouvoir de décision sur les traitements. Faute d’établissement principal dans l’EEE, le mécanisme du guichet unique ne s’applique pas : pas d’autorité chef de file, pas de projet de décision soumis aux autres autorités au titre de l’article 60, pas d’arbitrage du CEPD. Datatilsynet a statué seule, sur le fondement de l’article 55. La note du CEPD du 16 octobre relaie une affaire qu’il classe lui-même comme « nationale ».
La suite appartient à Xandr. Un recours passe d’abord par Datatilsynet, qui, si elle maintient sa position, transmet le dossier à la commission d’appel, Personvernnemnda.
Pour un annonceur ou un éditeur français, la décision ne crée aucune obligation nouvelle. Elle pose une question aux directions qui achètent ou vendent de l’audience : que peut-on prouver soi-même si l’autorité le demande ? Une direction marketing qui ne sait pas montrer comment le consentement a été recueilli pour chaque campagne ne peut pas démontrer sa base légale, et le contrat signé ne comble pas ce manque.
Le fait à surveiller
Le premier signal sera procédural. Si Xandr forme un recours, le dossier apparaîtra devant Personvernnemnda dans les prochains mois. Notre hypothèse, que les faits pourront démentir : le principe de responsabilité non délégable tiendra en appel, parce qu’il s’appuie sur le même texte et sur le même constat d’invalidité des consentements que l’affaire Grindr, déjà confirmée à 3 niveaux. Si la commission d’appel ou un tribunal norvégien jugeait qu’une plateforme peut se fier, sans vérification, au consentement recueilli par l’éditeur, l’hypothèse serait réfutée, et la décision du 2 octobre perdrait sa portée pour toute la chaîne.
Le second viendra des autres autorités : une décision visant un intermédiaire publicitaire sur le même fondement dirait si l’argument norvégien circule au-delà de la Norvège. ELMARQ suit ces décisions pour les directions qui achètent de l’audience et veulent pouvoir montrer, pièce par pièce, ce que leurs prestataires ont fait en leur nom.
Sources : décision de Datatilsynet du 2 octobre 2026 (version publique), communiqués du 12 octobre, note du CEPD du 16 octobre, communiqués de la CNIL. Citations traduites de l’anglais par ELMARQ. Les 8 questions sont une méthode de travail.
