L'autorité norvégienne de protection des données a infligé à Xandr, filiale de Microsoft, une amende d'environ 8,5 millions d'euros pour sa gestion des données personnelles des utilisateurs de Grindr, y compris des informations sensibles sur l'orientation sexuelle. L'amende de Xandr dans l'affaire Grindr est notable car elle cible une entreprise située plus loin dans la chaîne publicitaire, et pas seulement l'application qui a collecté les données au départ.

Le résumé dont nous disposons de la décision est bref, cet article s'en tient donc à ce qui est confirmé et explique le contexte plus large pour les lecteurs.

Ce pour quoi le régulateur norvégien a sanctionné Xandr

Selon les informations rapportées, la pénalité d'environ 8,5 millions d'euros concerne la manière dont Xandr, une activité publicitaire détenue par Microsoft, a traité des données personnelles appartenant à des utilisateurs de Grindr. Ces données comprenaient des informations sensibles sur l'orientation sexuelle.

Ce n'est pas la première fois que les pratiques de Grindr en matière de données attirent l'attention de la Norvège. L'autorité de protection des données du pays avait déjà infligé à Grindr elle-même une amende de 65 millions de couronnes norvégiennes (environ 5,5 millions d'euros) pour violation de l'article 9 du RGPD, qui restreint le traitement des catégories particulières de données personnelles. Cette amende a ensuite été confirmée par la cour d'appel de Borgarting. La nouvelle action contre Xandr élargit le champ d'attention de l'application à une entreprise qui a traité les données en aval.

Comment les données sensibles des applications parviennent aux plateformes publicitaires

La plupart des applications gratuites gagnent de l'argent grâce à la publicité. Pour afficher des publicités pertinentes, une application peut transmettre des informations sur un utilisateur, telles qu'un identifiant d'appareil, une localisation approximative ou des détails de profil, à des partenaires publicitaires. Ces partenaires peuvent inclure des places de marché publicitaires et des plateformes qui associent les publicités à des audiences, souvent en quelques millisecondes après l'ouverture d'une application.

Le problème survient lorsque les informations concernées sont sensibles. En vertu du RGPD, les données révélant l'orientation sexuelle appartiennent à une catégorie protégée. Le simple fait d'être utilisateur de certaines applications peut en soi révéler quelque chose de sensible. Une fois ce signal entré dans une chaîne ad-tech, il peut être copié, combiné à d'autres identifiants et transmis entre plusieurs entreprises, ce qui rend difficile pour les utilisateurs de savoir où il a fini ou de le retirer.

C'est pourquoi les régulateurs examinent toute la chaîne. Une entreprise qui reçoit ou traite de telles données assume ses propres responsabilités juridiques, même si ce n'est pas elle qui les a collectées en premier.

Ce que l'application du RGPD signifie pour les utilisateurs

L'amende est un signal que les régulateurs européens sont prêts à poursuivre les entreprises à travers tout l'écosystème publicitaire, y compris celles détenues par de grands groupes technologiques. Pour les utilisateurs, il y a quelques enseignements pratiques.

  • Les données de catégorie particulière sont soumises à des règles plus strictes. Les informations sur l'orientation sexuelle, la santé, la religion et des sujets similaires ne peuvent généralement pas être traitées sans base légale valide en vertu du RGPD.
  • L'application des règles peut être lente. L'affaire Grindr précédente a connu une amende, un appel et une décision de justice. Une action réglementaire n'annule pas l'exposition qui s'est déjà produite.
  • Les amendes ne sont pas des remèdes. Une pénalité punit une entreprise, mais les individus doivent toujours gérer leur propre exposition à l'avenir.

Des entreprises de cette taille détiennent également de grands volumes de données dans d'autres contextes, et les incidents de sécurité ailleurs dans l'écosystème rappellent que les données détenues de manière centralisée sont une cible. Par exemple, nous avons rapporté le cas d'un jeune chasseur de bugs qui aurait obtenu un accès de niveau administrateur au service d'analyse interne Titan de Microsoft, ainsi que des allégations selon lesquelles des bases de données d'employés auraient été volées dans l'infrastructure Microsoft Azure. Ce sont des questions distinctes de la décision Xandr, mais elles illustrent pourquoi limiter ce que vous partagez dès le départ compte.

Ce que cela signifie pour vous

Vous ne pouvez pas voir quels partenaires publicitaires reçoivent des données d'une application, l'approche la plus fiable est donc de réduire ce que l'application peut envoyer. Voici par où commencer :

  • Examinez les autorisations des applications. Vérifiez les autorisations de localisation, de contacts, de photos et de suivi sur votre téléphone. Révoquez tout ce dont une application n'a pas clairement besoin.
  • Réinitialisez ou désactivez votre identifiant publicitaire. Android et iOS vous permettent tous deux de supprimer ou de réinitialiser votre identifiant publicitaire, ou de limiter le suivi publicitaire, ce qui rend plus difficile pour les plateformes publicitaires de relier l'activité entre les applications.
  • Consultez les paramètres de confidentialité dans l'application. De nombreuses applications incluent des options pour les publicités personnalisées ou le partage de données avec des partenaires. Désactivez ce que vous pouvez.
  • Soyez sélectif avec les détails sensibles de votre profil. Si une application demande des informations que vous ne voudriez pas partager, envisagez de laisser le champ vide.
  • Supprimez les comptes que vous n'utilisez plus. Les comptes dormants peuvent encore contenir des données.

Où un VPN intervient

Un VPN peut masquer votre adresse IP et chiffrer votre trafic entre votre appareil et le serveur VPN, ce qui est utile sur le Wi-Fi public et pour limiter ce que votre fournisseur d'accès Internet voit. Mais il n'empêche pas une application d'envoyer les données que vous lui avez fournies, telles que des détails de profil ou un identifiant publicitaire, à ses partenaires. Considérez un VPN comme une couche partielle, pas comme une solution au partage de données dans les applications.

Points clés à retenir

L'amende de Xandr dans l'affaire Grindr montre que les régulateurs regardent au-delà des applications qui collectent des informations sensibles, jusqu'aux entreprises ad-tech qui les traitent. Pour les utilisateurs au quotidien, les mesures les plus efficaces sont sous votre contrôle : auditez les autorisations des applications, réinitialisez ou désactivez votre identifiant publicitaire, ajustez les paramètres de confidentialité dans les applications et n'utilisez un VPN que pour ce qu'il fait bien. Prenez dix minutes cette semaine pour passer en revue les applications de votre téléphone, en commençant par celles qui détiennent le plus d'informations personnelles.