- 发布日期
因非法共享 Grindr 用户敏感数据，挪威数据保护局对微软旗下 Xandr 开出该局史上最大罚单
- 作者
- 姓名
- 荷鲁斯快报
- 社交账号
挪威数据保护局对微软旗下广告技术公司 Xandr 开出 9200 万挪威克朗行政处罚罚单，折合 860 万欧元，约合 6451.3 万元人民币。这是该局迄今为止开出的最高金额罚单。处罚缘由是 Xandr 非法共享挪威 Grindr 用户的敏感数据。挪威数据保护局局长莉娜·科尔表示，本案违规情节十分严重，挪威数千名用户的敏感数据遭到非法共享。
案件始于 2020 年，挪威消费者委员会向挪威数据保护局投诉 Xandr。Xandr 当时名为 AppNexus，现隶属于微软。Grindr 是一款面向男同性恋、双性恋、跨性别者与酷儿群体的基于地理位置的约会应用。使用 Grindr 本身属于能够表明性取向的信息，这类信息受到特殊保护。
挪威数据保护局认定，Xandr 充当中间方，将挪威 Grindr 用户的个人数据转发给多达数千家其他企业，其中包含能够反映性取向的信息。侵权核心是 Xandr 参与实时竞价流程，同时扮演买方与卖方两端角色。每当用户打开 Grindr，其个人数据大多会经由 Xandr 流转至广告生态中数千个参与方。广告商借此竞价投放定向广告，整个过程对用户完全隐蔽。
实时竞价是广告行业的一项技术，带有广告位的网站与应用会将访客和用户的个人数据分享给广告平台。不同广告商通过竞价，争夺向该用户展示广告的机会，个性化广告由此实现。这类交易自动完成，在短短一瞬间即可结束。
Xandr 抗辩称，Grindr 已经获取了用户授权，但挪威数据保护局并不认可企业之间可以互相推诿责任。该局认定，Xandr 处理挪威 Grindr 用户个人数据没有合法依据。Xandr 没有核验 Grindr 获取的授权是否有效，也没有采取任何手段确保自身的数据处理行为具备合法依据。挪威数据保护局判定，Xandr 与 Grindr 属于共同数据控制者。科尔表示，数据保护责任不能转嫁给他人，每家企业都必须自行确保并拿出凭证，证明自身处理个人数据的行为合法。
罚款金额的核定还考虑了违规持续时间与主体规模。违规行为持续近两年，时间范围为 2018 年 7 月至 2020 年 4 月，被认定为加重情节。Xandr 是广告技术行业头部大型企业，其商业模式核心本身就是处理个人数据，并从非法共享个人数据中直接获取经济收益。罚款金额依据 Xandr 自身全年总营业额计算，并未采用微软的营收数据，因为涉案期间 Xandr 还未归入微软旗下。
此前，Grindr 曾在 2021 年因同类违规被处以 6500 万克朗罚款，博尔加廷上诉法院也裁定使用 Grindr 属于能够表明性取向的信息。科尔指出，个人数据一旦外泄，就很难追踪其去向与使用方式，用户已经失去对这类私密信息的控制权。这些信息还能和其他数据结合，勾勒出一份极其详尽的个人生活画像。Xandr 在收到处罚决定书后，拥有三周时间提起上诉。
