La regle du RGPD sur les "donnees sensibles" : pourquoi elle touche un site de petites annonces pour adultes meme sans bureau en Europe
L'amende qui ne concernait pas un piratage
En decembre 2021, l'autorite norvegienne de protection des donnees a inflige une amende de 65 millions de couronnes a Grindr LLC. Personne n'avait pirate les serveurs de Grindr. Aucune base de donnees n'avait fuite. L'entreprise avait fait ce que font, sans y reflechir, la plupart des sites avec une connexion et un budget publicitaire : elle avait partage des identifiants avec des partenaires publicitaires pour diffuser des annonces ciblees et mesurer leur efficacite. C'est exactement la meme tuyauterie que derriere un Meta Pixel ou une balise de conversion Google Ads sur des milliers de sites ordinaires.
La defense de Grindr etait que rien de tout cela ne revelait vraiment l'orientation sexuelle de qui que ce soit. Un utilisateur pouvait choisir un pseudonyme, sauter la photo, et ne rien partager d'explicite sur son identite. Le regulateur n'a pas accepte cet argument. Il a estime qu'etre un utilisateur connu d'une application construite autour d'une minorite sexuelle specifique "indique fortement, et semble refleter avec exactitude dans la plupart des cas", que la personne appartient a cette minorite, qu'elle en ait ecrit un mot ou non. L'amende a ete confirmee en appel, et un tribunal norvegien l'a confirmee de nouveau en 2025.
Le raisonnement compte plus que le chiffre. Un operateur de petites annonces qui lit ce dossier le classe generalement dans "un probleme d'application de rencontres, nous vendons des annonces". Mais le test juridique applique par le regulateur ne portait pas sur le nom de l'application de Grindr. Il portait sur ce qu'une personne raisonnable pouvait deduire des donnees, et ce test ne s'arrete pas a la porte d'une application de rencontres. Un annuaire construit autour de petites annonces personnelles pour adultes produit exactement le meme type de donnee : un compte sur ce genre de plateforme, naviguant dans une categorie precise, contactant un type specifique d'annonce. Rien de tout cela n'exige un seul mot explicite pour reveler a un tiers quelque chose d'intime sur la personne concernee.
C'est l'element qui echappe a un operateur concentre sur les retrofacturations, la verification d'age et la moderation des contenus, tous des risques reels et immediats. Le droit de la protection des donnees est une voie totalement distincte, avec son propre regulateur, ses propres amendes, et un test juridique construit exactement pour ce type de plateforme, meme s'il a ete redige sans penser a un site pour adultes.
Pourquoi cela compte meme quand personne ne le dit a voix haute
Le droit europeen a un nom pour les donnees qui permettent de deduire un fait sensible sans qu'il soit declare directement : l'inference. En aout 2022, la Cour de justice de l'Union europeenne a statue sur une affaire qui n'avait rien a voir avec du contenu pour adultes. Un fonctionnaire lituanien devait declarer, entre autres, le nom de son partenaire, et cette declaration avait ete publiee en ligne. La cour a juge que nommer un partenaire de meme sexe, sans un seul mot sur l'orientation, comptait tout de meme comme un traitement de donnees relatives a l'orientation sexuelle, parce qu'un lecteur pouvait y parvenir par ce que la cour a appele une operation intellectuelle de comparaison ou de deduction.
Ce test depasse largement le cas d'un fonctionnaire lituanien. La question n'est jamais "la plateforme a-t-elle dit que cette personne est gay, heterosexuelle, ou autre chose". La question est de savoir si une donnee, combinee a un raisonnement ordinaire, permet a un lecteur d'arriver a cette conclusion. Une categorie d'annonce, un champ "recherche", une description de service, ou simplement un compte actif sur une plateforme organisee autour d'un type specifique d'annonce personnelle peuvent a eux seuls franchir ce seuil, sans aucune etiquette explicite.
Selon le RGPD, des qu'une donnee franchit ce seuil, elle cesse d'etre une donnee personnelle ordinaire et devient ce que le reglement appelle une categorie particuliere, le terme de l'article 9 pour le meme ensemble qui contient les dossiers medicaux, les convictions religieuses et l'appartenance syndicale. Ce n'est pas une etiquette mineure. L'article 9 commence par interdire purement et simplement le traitement de ce type de donnees, et ne leve cette interdiction que pour une liste courte et fermee de situations precises. Les donnees personnelles ordinaires, elles, n'ont besoin que d'une base juridique courante parmi plusieurs, et cet ecart entre les deux regimes est exactement la ou se trouve aujourd'hui, sans le savoir, la plupart des sites de petites annonces.
L'effet pratique est qu'un champ concu uniquement pour la recherche et le filtrage, permettant a un visiteur d'affiner les annonces par categorie ou preference, remplit discretement une double fonction. Il aide un visiteur a trouver ce qu'il cherche, et c'est aussi exactement le type de donnee qu'un regulateur designerait comme preuve que la plateforme traite des categories particulieres de donnees, tant sur le visiteur que sur la personne annoncee. Retirer l'etiquette qu'un utilisateur pourrait taper ne suffit pas a echapper a la regle ; le test de la CJUE repose sur ce qui peut etre deduit, pas sur ce qui a ete declare.
Pourquoi "nous n'avons pas de bureau en Europe" n'aide pas
La reaction la plus courante face a tout cela, chez un operateur base loin de Bruxelles, est que les regulateurs europeens n'ont aucune prise ici. Cette reaction est fausse, et le RGPD explique clairement pourquoi. L'article 3(2) applique le reglement a toute entreprise, ou qu'elle soit basee, des lors qu'elle offre des biens ou des services a des personnes situees dans l'UE, qu'elles paient quoi que ce soit ou non, ou des lors qu'elle surveille le comportement de personnes situees dans l'UE. Aucun des deux cas n'exige une entite europeenne, un compte bancaire europeen ou un employe europeen.
Les lignes directrices que les regulateurs utilisent pour appliquer cet article precisent qu'un site web qui se charge simplement pour un visiteur en Allemagne ne suffit pas, a lui seul, a declencher la regle. Ce qui fait pencher la balance, c'est la preuve que l'entreprise cible reellement des personnes dans l'UE : des prix affiches en euros, un marketing dirige vers un public europeen, ou, tres concretement, le fait d'offrir le site lui-meme dans des langues europeennes. Une plateforme de petites annonces qui propose deja des pages en francais, allemand, italien, espagnol et portugais pour attirer precisement ces visiteurs se rapproche de l'exemple type que les regulateurs utilisent pour expliquer quand la regle s'applique.
Ce n'est pas une raison pour supprimer chaque langue europeenne ou bloquer geographiquement les visiteurs de l'UE, ce qui echangerait un probleme de conformite contre un probleme commercial bien plus grand. C'est une raison d'arreter de traiter "nous ne sommes pas enregistres en Europe" comme une reponse a une question de protection des donnees. L'obligation s'attache au traitement de donnees concernant des personnes dans l'UE, pas au lieu ou l'entreprise qui a construit la plateforme se trouve immatriculee. Une entreprise qui consacre deja du temps et de l'argent a traduire son site pour toucher des visiteurs europeens a deja fait ce que les regulateurs recherchent comme preuve de son intention de les atteindre.
L'infrastructure publicitaire qui se casse en silence
La plupart des sites gerent toute leur conformite en matiere de vie privee via un seul mecanisme : une banniere de cookies proposant d'accepter ou de refuser le tracage non essentiel, parfois avec un interrupteur pour "l'interet legitime". Cette banniere a ete concue pour les donnees personnelles ordinaires, ou une entreprise peut vraiment s'appuyer sur une base juridique generale comme l'interet legitime pour faire tourner des analyses ou diffuser des annonces sans rien demander de plus specifique. Les donnees sensibles ne fonctionnent pas ainsi. L'article 9(2) possede sa propre liste distincte et fermee de conditions pouvant lever l'interdiction generale, et l'interet legitime n'en fait pas partie. Une plateforme a besoin d'une base normale de l'article 6 et, en plus, d'une condition distincte de l'article 9(2), et sauter la seconde est precisement la faille que le regulateur norvegien a trouvee dans le dispositif de Grindr.
La condition qui convient a une plateforme commerciale est le consentement explicite, et le consentement explicite est une exigence nettement plus elevee que le consentement ordinaire que recueille habituellement une banniere de cookies. Il doit s'agir d'une declaration claire, specifique et affirmative sur le type particulier de donnee partagee, et cela ne peut pas etre satisfait en glissant une ligne sur le "partage de donnees avec des partenaires publicitaires" dans une politique de confidentialite generale acceptee du simple fait de continuer a naviguer. Les regulateurs ont ete directs sur ce point : le consentement pour ce type de traitement doit tenir seul, separe du reste des conditions qu'un utilisateur accepte, en nommant ce qui est collecte et qui le recoit.
Cela retombe precisement sur les deux outils vers lesquels se tournent d'abord la plupart des operateurs de petites annonces : un Meta Pixel et une balise de conversion Google Ads, tous deux concus pour indiquer a une plateforme publicitaire quel visiteur a fait quoi, sur quelle page, afin que les annonces puissent etre ciblees et mesurees. Sur un site de marchandises generales, c'est un tracage banal. Sur un site organise autour d'une categorie precise d'annonce personnelle, ce meme signal indique a la plateforme receptrice qu'un visiteur donne consulte cette categorie, ce qui equivaut fonctionnellement a la meme divulgation qui a valu une amende a Grindr, simplement via le tuyau d'un autre prestataire. C'est une seconde raison, independante, en plus de la difficulte a seulement ouvrir un compte publicitaire chez Google ou Meta pour cette categorie, de construire du trafic via des canaux qui ne recoivent jamais ce type de signal.
Rien de tout cela ne signifie qu'un operateur doive faire tourner le site sans aucune analyse. Cela signifie que le parcours de consentement pour une plateforme de cette categorie ne peut pas etre la meme banniere en un clic concue pour une librairie. L'etape d'adhesion explicite, specifique et non groupee doit avoir lieu, et doit avoir lieu avant que tout script capable d'envoyer des signaux au niveau de la categorie a un tiers ne se declenche, pas apres.
Le piege du "mais c'est deja public"
Un argument specifique revient souvent une fois qu'un operateur comprend le reste : les annonces sur le site sont de toute facon publiques, visibles par quiconque charge la page, alors comment peut-il y avoir un probleme de protection particuliere. Le RGPD comporte effectivement une exception qui semble convenir : l'article 9(2)(e) leve l'interdiction generale pour les donnees manifestement rendues publiques par la personne concernee elle-meme. Cela ressemble a un ajustement naturel pour un annuaire d'annonces publiques.
C'est aussi exactement l'argument que Grindr a utilise et perdu. L'entreprise a fait valoir qu'un profil ne devenait visible que pour les autres utilisateurs de l'application, presentant cette visibilite comme le propre choix de l'utilisateur de rendre l'information publique. Le regulateur l'a rejete, jugeant que l'exception exige un acte deliberement et specifiquement pose par la personne elle-meme pour rendre publique precisement cette donnee, et non la decision de la plateforme d'afficher les donnees du compte a quiconque consulte une page. Meme une annonce entierement publique, sans aucune barriere de connexion, ne franchit pas automatiquement ce seuil, car la question posee par l'exception porte sur l'intention propre de celui qui publie de rendre public ce fait precis, et non sur qui finit par pouvoir voir la page par la suite.
Une case cochee a l'inscription, enfouie dans un formulaire d'enregistrement, indiquant qu'un profil "sera visible sur la plateforme", n'equivaut pas a un acte deliberement et sciemment pose pour rendre public un fait sensible precis. Les regulateurs ont ete constants dans une interpretation restrictive de cette exception, et un operateur qui construit un argument de conformite dessus s'appuie sur la seule condition deja testee face a un scenario de faits presque identique, et qui n'a pas tenu.
Ce qu'il faut vraiment faire ce trimestre
Le point de depart n'est pas un nouvel outil, c'est un document : une analyse d'impact relative a la protection des donnees. L'article 35(3)(b) la rend obligatoire avant tout traitement a grande echelle de donnees sensibles, ce n'est pas une bonne pratique facultative, et une plateforme avec un volume significatif d'annonces organisees autour d'inserts personnels entre carrement dans cette obligation des qu'elle a un trafic reel en provenance de l'UE. Commander cette analyse, meme modeste si elle est bien menee, produit la trace documentaire qui montre a un regulateur que l'entreprise a pris la question au serieux avant meme qu'on la lui pose, le facteur le plus determinant dans la maniere dont une premiere plainte est traitee.
Vient ensuite un inventaire, pas une refonte : chaque script qui se declenche avant qu'un visiteur ne fasse un choix, chaque pixel, chaque balise d'analyse, chaque outil de carte de chaleur ou d'enregistrement de session. L'objectif est de savoir, precisement, lesquels recoivent un signal revelant quelle categorie de contenu regarde un visiteur, car c'est exactement le meme type de donnee dont traite tout cet article. Les documents deja collectes pour la verification d'identite portent une version parallele de cette meme exposition, et le meme reflexe, savoir precisement ce qui est conserve et qui peut y acceder, s'applique aux deux.
Le consentement a besoin de sa propre etape, distincte de la case des conditions generales, nommant clairement quelles categories de donnees sont partagees et avec quelles entreprises nommees, recueilli par une action affirmative plutot que suppose du simple fait de continuer a naviguer. C'est plus de friction a l'inscription, et c'est aussi la seule version du consentement qui survit a la norme qu'un regulateur appliquera reellement si une plainte arrive.
Le dernier element est le plus simple a formuler et le plus difficile a abandonner : minimiser ce qui quitte la plateforme. Une balise qui ne recoit jamais de signaux au niveau de la categorie sur un visiteur ne peut pas devenir une preuve dans une affaire comme celle de Grindr, quelle que soit la maniere dont le reste du programme de conformite est construit. L'integration la plus sure avec n'importe quel prestataire publicitaire ou d'analyse est celle a qui l'on n'a jamais donne le signal sensible en premier lieu.
Traiter cela comme un compte de paiement ou un contrat d'hebergement ont deja appris a la plupart des operateurs a traiter une exposition a haut risque : trouver la reponse avant que le regulateur ne pose la question, pas apres. Les entreprises qui sortent intactes d'une premiere plainte relative a la protection des donnees sont celles qui peuvent deja produire une analyse d'impact au dossier, un parcours de consentement construit pour cette categorie precise de donnees, et une reponse documentee sur ce qui quitte exactement la plateforme et ou cela va.
