Amende Xandr de 8,6 M€ : Real-Time Bidding et Pièges de Responsabilité Conjointe

Le 16 octobre 2026, l'autorité norvégienne de protection des données (Datatilsynet) a infligé une amende administrative de 8,6 millions d'euros (92 millions de NOK) à la filiale adtech de Microsoft, Xandr, pour traitement illicite de données personnelles au sens de l'article 6, paragraphe 1, et de l'article 9, paragraphe 1, du RGPD. Cette décision fixe une règle stricte pour l'écosystème logiciel européen : la responsabilité ne se délègue pas, et l'intégration de SDK publicitaires programmatiques crée une responsabilité conjointe qu'un bandeau de consentement tiers ne saurait couvrir automatiquement.

Que s'est-il passé dans l'affaire Xandr auprès de la DPA norvégienne ?

Datatilsynet a conclu une enquête approfondie sur la plateforme d'enchères en temps réel (Real-Time Bidding, RTB) de Xandr, initiée suite à des plaintes déposées par le Conseil des consommateurs norvégien concernant les données diffusées via l'application mobile Grindr.

L'autorité de contrôle a établi que Xandr traitait les identifiants publicitaires mobiles, les adresses IP et les données d'utilisation de l'application lors des requêtes d'enchères. L'application s'adressant aux personnes gays, bisexuelles, trans et queer, l'autorité a jugé que le simple fait d'utiliser cette application constituait un traitement de données sensibles relatives à l'orientation sexuelle au sens de l'article 9, paragraphe 1, du RGPD.

Xandr soutenait n'agir qu'en tant qu'intermédiaire technique et s'être appuyé sur la plateforme de gestion du consentement intégrée par l'application. L'autorité a rejeté cet argument. Elle a qualifié Xandr de responsable conjoint du traitement au titre de l'article 26 du RGPD, affirmant que les acteurs commerciaux ne peuvent se reposer aveuglément sur des signaux de consentement tiers. Datatilsynet a prononcé une amende de 8 600 000 euros pour négligence caractérisée.

Pourquoi les PME européennes ne peuvent-elles plus déléguer la vérification du consentement ?

De nombreuses applications mobiles, éditeurs de contenus et plateformes SaaS intègrent des scripts tiers, des balises de header bidding et des SDK d'analyse en quelques minutes. Les équipes produit supposent souvent qu'une bannière de consentement ou une chaîne IAB TCF transfère l'intégralité du risque juridique vers la régie publicitaire.

La décision Xandr écarte ce raisonnement. Les constats de l'autorité sont sans équivoque :

• Une responsabilité non transférable : En vertu de l'article 5, paragraphe 2, et de l'article 24 du RGPD, chaque responsable de traitement doit s'assurer et être en mesure de démontrer de manière autonome qu'une base légale valide existe pour ses traitements.
• Déduction automatique de données sensibles : Dès lors que le contexte de l'application ou la télémétrie permet de déduire des données de santé, des opinions politiques ou l'orientation sexuelle, le consentement standard de l'article 6 ne suffit pas. Une autorisation explicite au titre de l'article 9, paragraphe 2, sous a), est obligatoire.
• Invalidité des chaînes de consentement répercutées : Si le bandeau en amont recourt à des cases pré-cochées ou à des listes de partenaires imprécises, les acteurs de l'écosystème en aval traitent les données de manière illicite dès la première transmission.

Si votre application transmet des données d'utilisateurs à des réseaux publicitaires ou à des courtiers en données sans registres de consentement vérifiables, votre entreprise partage la responsabilité juridique du traitement.

Quelles sont les sanctions encourues au titre de l'article 83 du RGPD ?

Le traitement de données sans base légale appropriée (article 6) et la violation des exigences relatives aux données sensibles (article 9) relèvent du niveau maximal de sanctions prévu par l'article 83, paragraphe 5, du RGPD :

• Plafond légal des amendes : Jusqu'à 20 000 000 d'euros ou 4 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu.
• Responsabilité solidaire : Selon les articles 26 et 82 du RGPD, les personnes concernées peuvent réclamer l'indemnisation intégrale de leur préjudice auprès de n'importe quel responsable conjoint.
• Injonctions de suppression : Au-delà des pénalités financières, les autorités ordonnent couramment la suppression immédiate des bases de données et des modèles algorithmiques entraînés sur des données irrégulières (article 58, paragraphe 2, sous g)).

En combinant ces obligations avec les règles du Règlement sur l'IA et l'Évaluateur de risque IA, les flux de données alimentant des algorithmes de profilage font l'objet d'une surveillance renforcée.

Comment auditer vos SDK et vos accords de responsabilité conjointe ?

Les entreprises technologiques européennes doivent passer d'une confiance passive à un contrôle effectif de leurs partenaires. Voici les quatre actions recommandées :

1. Recenser chaque traceur tiers dans votre registre (RAT)

L'article 30 du RGPD exige de répertorier tous les destinataires externes de données. Inspectez le trafic réseau de vos applications pour identifier les SDK publicitaires, identifiants mobiles (IDFA / GAID) et traceurs non documentés. Intégrez ces flux dans votre Guide du Registre des activités de traitement.

2. Établir des contrats de responsabilité conjointe (Article 26)

Si votre logiciel transmet des requêtes d'enchères ou des segments d'audience à des tiers, formalisez un accord au titre de l'article 26 du RGPD. Cet accord doit fixer clairement :

• Les modalités d'information des personnes (articles 13 et 14).
• La gestion opérationnelle des demandes d'exercice de droits (articles 15 à 22).
• La conservation des preuves d'obtention du consentement.

3. Filtrer les métadonnées sensibles en amont

Ne transmettez jamais d'informations contextuelles sensibles à des plateformes publicitaires ou à des outils d'analyse partagés. Pour les applications traitant de santé, de bien-être ou de communautés spécifiques, anonymisez ou supprimez les identifiants techniques avant tout appel d'API externe. Réalisez une AIPD pour évaluer les risques de ré-identification.

4. Coordonner les contrôles techniques avec la Directive NIS 2

Assurez-vous que votre architecture de transmission de données respecte les exigences de sécurité de la Directive NIS 2 et de DORA. Les scripts tiers non maîtrisés représentent une faille de sécurité de la chaîne logicielle autant qu'une infraction réglementaire.

Quelles sont les priorités immédiates pour les équipes techniques ?

N'attendez pas l'ouverture d'un contrôle ou la réception d'une mise en demeure. Menez sans délai ces trois démarches :

1. Analyser les appels réseau en production : Cartographiez l'ensemble des requêtes sortantes de vos applications web et mobiles vers des domaines tiers.
2. Vérifier le blocage préalable du consentement : Assurez-vous qu'aucun traceur publicitaire ou analytique ne s'exécute avant le recueil d'un consentement positif et explicite.
3. Constituer un dossier de conformité prêt pour audit : Rassemblez vos accords de traitement, clauses contractuelles et extraits de registre dans un dossier structuré pour validation par votre DPO ou votre conseil juridique.

Avertissement : EuroComply fournit des outils de préparation à la conformité et des projets de documentation probante. Ce guide est publié à des fins purement informatives et ne constitue pas un conseil juridique, réglementaire ou de conformité. Les documentations techniques et évaluations doivent être validées par des conseils juridiques qualifiés.