Grindr : quand vos données sensibles passaient dans une enchère publicitaire sans que vous le sachiez

Vous ouvrez Grindr, l’enchère publicitaire démarre

L’affaire paraît ancienne, mais sa conclusion est toute fraîche. Le 12 octobre, l’autorité norvégienne de protection des données a annoncé une amende de 92 millions de couronnes contre Xandr, anciennement AppNexus et désormais intégré à Microsoft Advertising. C’est la sanction financière la plus élevée jamais prononcée par cette autorité. Les faits reprochés couvrent une période allant de juillet 2018 à avril 2020 et concernent le rôle de Xandr dans la publicité automatisée affichée aux utilisateurs norvégiens de Grindr.

Le problème n’était pas simplement que Grindr affichait des publicités. Xandr intervenait dans un système appelé Real-Time Bidding, ou RTB. Lorsqu’un emplacement publicitaire devient disponible dans une application, des informations concernant l’utilisateur peuvent être envoyées vers différents acteurs de l’écosystème publicitaire. Des annonceurs ou plateformes enchérissent ensuite automatiquement pour afficher leur publicité. Tout cela se déroule en une fraction de seconde, avant même que vous ayez eu le temps de vous demander pourquoi une bannière pour des baskets vient d’apparaître sous votre conversation.

Selon le régulateur norvégien, Xandr a relayé les données de certains utilisateurs de Grindr vers potentiellement des milliers d’acteurs de la publicité en ligne. Et dans ce cas précis, le simple fait d’être identifié comme utilisateur de Grindr pouvait déjà constituer une information révélant l’orientation sexuelle d’une personne, donc une donnée bénéficiant d’une protection renforcée.

Autrement dit, le problème n’était pas seulement « une appli connaît votre orientation ». C’était plutôt : combien d’entreprises invisibles peuvent déduire cette information simplement parce qu’une publicité doit être affichée ?

La donnée la plus sensible n’a même pas besoin de dire « orientation sexuelle »

C’est l’un des aspects les plus intéressants de la décision. Pour qu’une information soit sensible, elle n’a pas forcément besoin de contenir un champ parfaitement explicite du genre orientation_sexuelle = ....

L’autorité norvégienne considère que le fait même d’utiliser Grindr est susceptible d’indiquer une orientation sexuelle. C’est également la position qu’avait retenue la justice norvégienne dans l’affaire visant directement Grindr.

Le rapport original « Out of Control » publié par le Conseil norvégien des consommateurs en 2020 avait d’ailleurs montré à quel point les données publicitaires pouvaient être riches. Les chercheurs avaient notamment observé, selon les sociétés impliquées, des transferts comprenant identifiants publicitaires, adresse IP, informations sur l’appareil et, dans certains flux, position GPS précise ou données démographiques. Le rapport insistait déjà sur le fait qu’un identifiant indiquant simplement qu’une personne utilise Grindr peut devenir un indicateur extrêmement révélateur lorsqu’il est recoupé avec d’autres informations.

C’est toute la magie légèrement inquiétante du tracking moderne : un morceau de donnée pris isolément semble parfois anodin. Mettez-en cinquante ensemble et vous commencez à fabriquer une biographie.

Un identifiant publicitaire ici.

Une localisation là.

Une application utilisée.

Un horaire.

Un modèle de téléphone.

Et soudain, quelqu’un que vous n’avez jamais rencontré possède un profil beaucoup plus précis qu’il ne devrait raisonnablement en avoir besoin pour vous vendre une paire de chaussures.

Xandr : « nous pensions que Grindr avait obtenu le consentement »

La défense de Xandr est probablement la partie la plus importante pour le reste du Web.

La société expliquait en substance qu’elle pensait que Grindr avait correctement obtenu le consentement de ses utilisateurs. Le régulateur norvégien a rejeté cet argument. Selon lui, Xandr ne pouvait pas se contenter de faire confiance à l’entreprise située en amont : chaque acteur qui traite des données personnelles doit s’assurer qu’il possède lui-même une base légale valable et être capable de le démontrer.

L’autorité est même allée plus loin en considérant Xandr et Grindr comme responsables conjoints du traitement pour les opérations concernées. Le message adressé au secteur publicitaire est donc assez brutal : participer à la chaîne technique ne transforme pas une entreprise en simple tuyau innocent.

« C’est l’application qui nous a donné les données » ne suffit pas.

« Le partenaire nous avait assuré que le consentement était bon » non plus.

Et « nous sommes le dix-septième intermédiaire dans le diagramme, veuillez contacter la case située trois flèches plus haut » commence visiblement à perdre de son efficacité juridique.

C’est précisément pourquoi noyb considère la décision comme un précédent important pour l’adtech. L’association avait déposé plainte en 2020 avec le Conseil norvégien des consommateurs et estime que les intermédiaires publicitaires opérant en arrière-plan sont trop rarement tenus directement responsables.

Le « consentement » devient vite absurde quand des milliers d’entreprises sont derrière

Le dossier met aussi en lumière une faiblesse fondamentale du système de consentement que nous utilisons tous les jours.

Dans l’idéal, l’utilisateur sait quelles informations sont collectées, pourquoi elles le sont, qui les reçoit et peut réellement choisir.

Dans la publicité programmatique, la réalité peut devenir beaucoup plus compliquée. Une application utilise un SDK. Celui-ci communique avec une plateforme. La plateforme participe à une enchère. Différents intermédiaires reçoivent des données. D’autres sociétés peuvent intervenir dans la mesure, le ciblage, la lutte contre la fraude ou la revente d’espaces.

Le Conseil norvégien des consommateurs résume cette mécanique comme la création progressive d’un « jumeau numérique » publicitaire : des identifiants permettent de relier des fragments d’activité entre applications, sites et plateformes jusqu’à produire un profil détaillé des intérêts et comportements d’un individu.

À ce stade, expliquer tout cela dans une fenêtre « Accepter / Refuser » de 420 pixels de large devient un exercice assez optimiste.

Le problème n’est donc pas seulement que les gens ne lisent pas les politiques de confidentialité. Même quelqu’un suffisamment motivé pour lire les 38 pages pourrait avoir du mal à savoir précisément quelles sociétés verront quelles informations plusieurs millisecondes plus tard.

Microsoft est dans le titre, mais les faits sont antérieurs au rachat

Autre nuance indispensable : Microsoft ne possédait pas Xandr lorsque les faits ont eu lieu.

Les violations retenues couvrent juillet 2018 à avril 2020. Xandr n’était pas encore une société Microsoft pendant cette période. Le régulateur a d’ailleurs calculé l’amende à partir du chiffre d’affaires propre de Xandr et non du chiffre d’affaires gigantesque de Microsoft, précisément pour cette raison.

Reuters rapporte que Microsoft souligne également cette chronologie et indique examiner la décision avant de déterminer sa réponse. Xandr dispose de trois semaines à compter de la réception de la décision pour faire appel. La sanction est donc prononcée, mais la procédure peut encore connaître une suite.

C’est important pour éviter un titre trompeur façon « Microsoft espionnait les utilisateurs de Grindr ». Ce n’est pas ce que le régulateur affirme.

Microsoft a acheté l’entreprise qui est aujourd’hui sanctionnée pour des pratiques antérieures.

Ce qui reste suffisamment gênant sans devoir en rajouter une couche.

Grindr avait déjà été condamné, mais cette fois le tuyau publicitaire prend aussi

L’application Grindr avait déjà été sanctionnée pour cette affaire. Le régulateur norvégien lui avait infligé une amende de 65 millions de couronnes, décision ensuite confirmée par les différentes voies de recours jusqu’à la cour d’appel en 2025.

La nouveauté de cette semaine est justement que la responsabilité ne s’arrête pas au développeur de l’application.

Le dossier de 2020 visait également plusieurs entreprises du secteur publicitaire, dont MoPub, OpenX, AdColony, Smaato et AppNexus/Xandr. Le Conseil norvégien des consommateurs rappelle que les plaintes contre ces différents acteurs faisaient partie de sa campagne « Out of Control ».

C’est beaucoup plus important qu’une nouvelle amende isolée contre une application de rencontre.

Si cette logique s’impose plus largement, toute société participant à un échange publicitaire pourrait devoir vérifier sérieusement d’où viennent les données, quel consentement existe réellement et si ce consentement couvre son propre traitement.

Le genre de vérification qui rend nettement moins confortable le modèle « nous recevons quelques milliards d’identifiants, mais quelqu’un d’autre a certainement lu les conditions générales ».

Pourquoi cette affaire nous concerne même si nous n’avons jamais utilisé Grindr

Parce que Grindr n’est ici que l’exemple le plus spectaculaire.

Le système de publicité automatisée existe dans une quantité immense d’applications et de sites. Les mêmes identifiants techniques peuvent servir à suivre des habitudes d’achat, des recherches, des déplacements ou l’utilisation de catégories particulières d’applications.

Le cas Grindr rend simplement les conséquences beaucoup plus faciles à comprendre parce que la sensibilité de l’information est évidente.

Lorsque votre application météo communique un identifiant publicitaire, le danger paraît abstrait.

Lorsque l’utilisation d’une application peut révéler une orientation sexuelle, une religion, une grossesse, une maladie ou une situation financière, le débat devient beaucoup moins théorique.

Et une fois la donnée envoyée dans un écosystème comptant potentiellement des milliers d’acteurs, la récupérer ressemble un peu à essayer de remettre du dentifrice dans le tube avec une pince à épiler.

Le régulateur norvégien résume justement le problème ainsi : lorsqu’une information personnelle est partie, il devient extrêmement difficile de savoir où elle se trouve et comment elle sera réutilisée.

Le vrai changement : les acteurs invisibles deviennent responsables

L’amende de 8,6 millions d’euros paraît presque petite lorsqu’on la compare aux sanctions de plusieurs centaines de millions infligées régulièrement aux géants du numérique.

Mais ce n’est probablement pas son montant qui rend cette décision intéressante.

C’est sa cible.

Quand un scandale de données éclate, nous connaissons généralement le nom de l’application ou du réseau social. Nous connaissons beaucoup moins les dizaines de sociétés publicitaires auxquelles cette application parle ensuite en arrière-plan.

Xandr est exactement ce type d’acteur.

La société ne développait pas Grindr.

Elle n’avait pas besoin d’avoir une relation visible avec l’utilisateur.

Et beaucoup des personnes concernées ignoraient probablement jusqu’à son existence.

Pourtant, le régulateur estime qu’elle avait ses propres responsabilités au titre du RGPD.

Voilà ce qui pourrait rendre cette affaire beaucoup plus importante pour l’adtech que le montant inscrit sur le chèque.

La protection de la vie privée devient assez inutile si chaque maillon d’une chaîne peut simplement montrer du doigt celui qui se trouve avant lui.

Après six années de procédure, la Norvège vient donc d’envoyer un message plutôt simple au marché publicitaire : si vous recevez la donnée, vous recevez aussi une partie de la responsabilité.

Et vu le nombre d’entreprises présentes derrière une bannière publicitaire moderne, quelques services juridiques risquent soudainement de trouver leur semaine un peu plus longue.