Xandr 經即時競價處理 Grindr 使用者資料的挪威罰款

挪威資料保護機關（Datatilsynet）10 月 12 日公布，對 Microsoft 旗下的廣告科技公司 Xandr 處以 9,200 萬挪威克朗罰款（依決定書約合 850 萬歐元），是挪威資料保護機關到公布時開出最高的一筆。根據 10 月 2 日作成的決定書，Xandr 在 2018 年 7 月到 2020 年 4 月經即時競價廣告處理挪威 Grindr 使用者的資料時沒有合法依據，處理的資料至少包括使用 Grindr 這件事、廣告 ID（手機系統給每台裝置的廣告用識別碼）與 IP 位址。罰款只涉及挪威的使用者，決定書也沒有評估現況。依機關 10 月 16 日的說明文章，每次開啟有廣告的 App 都可能觸發這類競標。

即時競價（RTB）是 App 或網站有廣告位時，把使用者的資料送給廣告平台，讓廣告商在幾分之一秒內競標的機制。根據決定書，使用者打開 Grindr 時，廣告請求直接或經廣告中介 MoPub 送到 Xandr。Xandr 當時同時經營賣方與買方的平台，依機關的新聞稿，資料可能再轉給數以千計的業者。

挪威資料保護機關在決定書裡認定，使用 Grindr 這件事本身就指向性傾向，屬於歐盟《一般資料保護規則》（GDPR，挪威所屬的歐洲經濟區同樣適用）的特殊類別個人資料。這類資料原則上禁止處理，例外之一是當事人明確同意。機關的新聞稿裡寫，Xandr 的抗辯是它認為 Grindr 已經取得使用者的同意。機關的結論是 Grindr 取得的同意無效，Xandr 身為共同控制者（一起決定資料如何處理的業者）也要自行確認同意有效，責任不能推給別人。

這件案子出自挪威消費者委員會與 noyb（歐洲的隱私倡議組織）2020 年對 Grindr 與多家廣告科技公司提出的申訴。Grindr 本身 2021 年 12 月已被罰 6,500 萬克朗，隱私申訴委員會、奧斯陸地方法院與上訴法院先後維持。機關的 2025 年年報寫到，上訴法院 2025 年 10 月的判決沒有再上訴，已經確定。

導讀觀點

Microsoft 的發言人對德國數位政策媒體 netzpolitik.org 表示，調查與決定針對的是 Microsoft 收購 Xandr 之前的行為，之後法律標準的解釋與實務已有發展。發言人也說公司正在檢視決定、評估選項。

依決定書，Xandr 主張調查開始時，它和任何處於相同位置的業者都無法預期機關採用的標準與結論。機關認為這是指業界慣例，並引上訴法院的見解，認為業界慣例不能列為減輕因素。

罰款依 Xandr 自己的年營業額計算。機關依歐盟法院的判例認為，違法期間 Xandr 還不屬於 Microsoft，用 Microsoft 的營業額不適當也沒有必要。

Xandr 反對以 2025 會計年度的營收計算罰款，理由是機關發出預先通知（決定前的通知）後過了一年多才作成決定。機關仍以這個年度的營收為基礎，但把處理時間長列為減輕因素、調降罰款。Xandr 另外主張延遲損害了自己的抗辯能力，機關不同意。

對決定提出申訴（appeal）的期限是收到決定後三週，收件日期沒有公開。到 10 月 31 日，機關的英文新聞頁沒有後續公告。

noyb 10 月 12 日把罰款連到歐盟的數位綜合法案（Digital Omnibus，執委會 2025 年 11 月提出的數位法規簡化提案），認為業界遊說要讓網路追蹤用的識別碼不再受 GDPR 規範。歐洲消費者組織 BEUC 則擔心放寬個人資料的定義，會讓這次被認定違法的同意做法失去約束。

依理事會 10 月 21 日的新聞稿，成員國議定的立場保留現有的個人資料定義，另外新增假名化（把可直接識別個人的欄位換成代號）的條文。

新聞稿也寫到，新增的條文是為了讓組織更清楚如何遵守規定。noyb 10 月 23 日的解讀則認為，新的假名化條文會大幅縮小個人資料的範圍。

Android 可以在「設定」的「隱私權」>「廣告」刪除廣告 ID，iPhone 可以在「設定」的「隱私權與安全性」>「追蹤」關閉「允許 App 發出追蹤請求」，或逐一關閉個別 App。依 Apple 對 App 的規定，使用者要求 App 不要追蹤之後，App 也不得改用其他能識別你或裝置的資訊追蹤。依 Google 的說明，App 可能另有使用其他類型 ID 的設定。兩家的說明頁都沒有寫 IP 位址與使用哪個 App 是否仍隨廣告請求送出，這些設定能否涵蓋決定書認定的其他資料，我們無法確認。

這件案子沒有提供台灣使用者或現況的資訊。台灣的《個人資料保護法》第 6 條把性生活列為特種個資，原則上不得蒐集、處理或利用，條文沒有性傾向的字樣。使用某個 App 是否屬於這一類，主管機關或法院的解釋這次沒有查證，個資法也沒有針對廣告識別碼或即時競價的專條。

比較各地的做法，可以看使用某個 App 這件事會不會被當成敏感資料，以及廣告鏈上每個收到資料的業者是否都要自行確認同意。也可以看業者主張法律標準的解釋已有發展時，主管機關如何評價過去的做法。若各地比照數位綜合法案調整個人資料的定義，追蹤用的識別碼是否仍受規範，也是比較的重點。政策想達成的效果也要一起看，這件案子 2020 年申訴、2026 年才作成決定，罰款能否改變業者現在的做法。