Xandr 经实时竞价处理 Grindr 用户数据的挪威罚款

挪威数据保护机构（Datatilsynet）10 月 12 日公布，对 Microsoft 旗下的广告科技公司 Xandr 处以 9,200 万挪威克朗罚款（依决定书约合 850 万欧元），是挪威数据保护机构到公布时开出的最高一笔。根据 10 月 2 日作出的决定书，Xandr 在 2018 年 7 月到 2020 年 4 月经实时竞价广告处理挪威 Grindr 用户的数据时没有合法依据，处理的数据至少包括使用 Grindr 这件事、广告 ID（手机系统给每台设备的广告用标识符）与 IP 地址。罚款只涉及挪威的用户，决定书也没有评估现状。依机构 10 月 16 日的说明文章，每次打开有广告的 App 都可能触发这类竞价。

实时竞价（RTB）是 App 或网站有广告位时，把用户的数据发给广告平台，让广告主在几分之一秒内竞价的机制。根据决定书，用户打开 Grindr 时，广告请求直接或经广告中介 MoPub 发送到 Xandr。Xandr 当时同时经营卖方与买方的平台，依机构的新闻稿，数据可能再转给数以千计的企业。

挪威数据保护机构在决定书里认定，使用 Grindr 这件事本身就指向性取向，属于欧盟《通用数据保护条例》（GDPR，挪威所属的欧洲经济区同样适用）的特殊类别个人数据。这类数据原则上禁止处理，例外之一是当事人明确同意。机构的新闻稿里写，Xandr 的抗辩是它认为 Grindr 已经取得用户的同意。机构的结论是 Grindr 取得的同意无效，Xandr 作为共同控制者（共同决定数据如何处理的企业）也要自行确认同意有效，责任不能推给别人。

这起案件源于挪威消费者委员会与 noyb（欧洲的隐私倡导组织）2020 年对 Grindr 与多家广告科技公司提出的投诉。Grindr 本身 2021 年 12 月已被罚 6,500 万克朗，隐私申诉委员会、奥斯陆地方法院与上诉法院先后维持。机构的 2025 年年报写到，上诉法院 2025 年 10 月的判决没有再上诉，已经确定。

导读观点

Microsoft 的发言人对德国数字政策媒体 netzpolitik.org 表示，调查与决定针对的是 Microsoft 收购 Xandr 之前的行为，之后法律标准的解释与实务已有发展。发言人也表示公司正在审视决定、评估选项。

依决定书，Xandr 主张调查开始时，它和任何处于相同位置的企业都无法预期机构采用的标准与结论。机构认为这是指业界惯例，并引上诉法院的见解，认为业界惯例不能列为减轻因素。

罚款依 Xandr 自己的年营业额计算。机构依欧盟法院的判例认为，违法期间 Xandr 还不属于 Microsoft，用 Microsoft 的营业额不适当也没有必要。

Xandr 反对以 2025 会计年度的营收计算罚款，理由是机构发出预先通知（决定前的通知）后过了一年多才作出决定。机构仍以这个年度的营收为基础，但把处理时间长列为减轻因素、降低罚款。Xandr 另外主张延迟损害了自己的抗辩能力，机构不同意。

对决定提出申诉（appeal）的期限是收到决定后三周，收件日期没有公开。到 10 月 31 日，机构的英文新闻页没有后续公告。

noyb 10 月 12 日把罚款连到欧盟的数字综合法案（Digital Omnibus，欧委会 2025 年 11 月提出的数字法规简化提案），认为业界游说要让网络跟踪用的标识符不再受 GDPR 规范。欧洲消费者组织 BEUC 则担心放宽个人数据的定义，会让这次被认定违法的同意做法失去约束。

依理事会 10 月 21 日的新闻稿，成员国议定的立场保留现有的个人数据定义，另外新增假名化（把可直接识别个人的字段换成代号）的条文。

新闻稿也写到，新增的条文是为了让组织更清楚如何遵守规定。noyb 10 月 23 日的解读则认为，新的假名化条文会大幅缩小个人数据的范围。

Android 可以在「设置」的「隐私」>「广告」删除广告 ID，iPhone 可以在「设置」的「隐私与安全性」>「跟踪」关闭「允许 App 请求跟踪」，或逐一关闭个别 App。依 Apple 对 App 的规定，用户要求 App 不跟踪之后，App 也不得改用其他能识别你或设备的信息跟踪。依 Google 的说明，App 可能另有使用其他类型 ID 的设置。两家的说明页都没有写 IP 地址与使用哪个 App 是否仍随广告请求发出，这些设置能否涵盖决定书认定的其他数据，我们无法确认。

这起案件没有提供台湾或中国大陆用户与现状的信息。台湾的《个人资料保护法》第 6 条把性生活列为特种个人资料，原则上不得收集、处理或利用，条文没有性取向的字样。使用某个 App 是否属于这一类，主管机关或法院的解释这次没有查证，该法也没有针对广告标识符或实时竞价的专条。

中国大陆《个人信息保护法》第二十八条列举的敏感个人信息包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等，没有写到性取向，第二十九条规定处理敏感个人信息要取得个人的单独同意。国家互联网信息办公室 2026 年 1 月的问答把软件使用记录列为个人信息。同一份问答依国家标准 GB/T 45574-2025 列出的常见敏感个人信息类别没有性取向，标准全文这次没有查。

挪威机构的结论针对的是 Xandr 作为共同控制者的责任。中国大陆对应的是第二十条（本文的对照），两个以上的处理者共同决定处理目的和处理方式时要约定各自的权利和义务。共同处理侵害个人信息权益、造成损害的，依法承担连带责任。

把个人信息提供给其他处理者是另一种关系，适用第二十三条。提供方要告知个人接收方的名称、处理目的与个人信息的种类等事项，并取得个人的单独同意。接收方要在这些处理目的、处理方式与种类的范围内处理，变更处理目的或方式要重新取得同意。广告链上的数据传递在中国大陆的法律下算共同处理还是提供，这次没有查。

比较各地的做法，可以看使用某个 App 这件事会不会被当成敏感数据，以及广告链上每个收到数据的企业是否都要自行确认同意。也可以看企业主张法律标准的解释已有发展时，主管机关如何评价过去的做法。若各地参照数字综合法案调整个人数据的定义，跟踪用的标识符是否仍受规范，也是比较的重点。政策想达成的效果也要一起看，这起案件 2020 年投诉、2026 年才作出决定，罚款能否改变企业现在的做法。