挪威因Grindr数据共享问题对微软Xandr罚款960万美元

挪威数据保护监管机构对微软旗下广告部门Xandr处以9200万克朗（约合960万美元）的罚款，原因是其在缺乏法律依据的情况下将Grindr用户的敏感数据分享给广告商。此次处罚将是该机构有史以来对公司开出的最大罚单。

挪威监管机构Datatilsynet声称，涉案数据包含可能泄露用户性取向的信息。这一最终决定结束了在挪威持续了六年多的案件。

Grindr的数据为何落入数千个竞标者手中

该案件涉及实时竞价（RTB），这是一种在用户打开应用时以毫秒为单位出售广告位的过程。据Datatilsynet称，当个人在挪威启动Grindr应用时，其个人数据会通过Xandr传输，并可能与广告行业的数千家公司和机构共享。这些公司随后竞相向用户提供定向广告。

由于Grindr服务于同性恋、双性恋、跨性别和酷儿用户，监管机构认为仅凭应用使用情况就足以揭示一个人的性取向。根据欧洲数据保护法规，这属于敏感数据，必须获得明确同意才能处理。

挪威监管机构认定Xandr未能获得所需同意。该机构还裁定，该公司与Grindr共同承担数据处理责任，而非仅作为中介。Xandr从数据共享中获得的直接经济利益，也是评估罚款金额的关键因素之一。

归咎于应用本身并未成立

Xandr辩称，它假设Grindr已经从其用户处获得了有效同意，但这一论点被监管机构驳回。

“数据保护责任不能推卸给他人，”Datatilsynet总干事Line Coll在该机构的声明中表示，据Tech Xplore报道。她指出，每家公司都必须独立确保并能够证明其使用所获取的数据具有合法依据。

Coll表示，这些违规行为尤为严重，他指出数千名挪威用户的敏感个人数据被非法共享。据PPC Land报道，数据共享发生在2018年7月至2020年4月之间，当时微软尚未收购该企业（当时名为AppNexus）。Xandr现在有三周的时间可以在上诉中挑战这一裁决。

挪威的这项决定紧随2026年初法国的一起类似案件之后，在法国案件中，最高行政法院维持了对再营销公司Criteo处以4000万欧元罚款的决定，驳回了其关于合作伙伴网站应负责收集用户同意的说法。这两项决定明确表明，企业仍需对数据保护承担责任，不能依赖合作伙伴来收集用户同意。

自2020起在挪威发起的一项投诉

该投诉由挪威消费者委员会和隐私组织noyb于2020年针对Grindr的数据共享行为提出。这是当年提交的三项投诉之一，既针对该应用对用户数据的处理方式，也针对接收这些数据的技术公司。

noyb的数据保护律师Felix Mikolasch表示，这一裁决可能迫使Xandr等广告技术公司承担更大责任，因为这类公司的运营往往鲜为人知、不为公众所察觉。他在该组织的声明中将此决定描述为类似案件的重要先例。

挪威消费者委员会数字政策总监Finn Myrstad表示，这一决定向依赖用户追踪的公司发出了警告。最新的裁决是在Grindr在挪威面临类似处罚之后作出的。2025年，该国法院维持了对该应用处以6500万克朗罚款的判决，因其非法分享用户的敏感个人信息。

The fine targets a company that is valued at around $3.97 trillion, according to GuruFocus. However, noyb has also warned that the precedent could lose its intended effect if the European Commission’s proposed Digital Omnibus weakens how the GDPR treats online tracking IDs. This proposal is currently under consideration by the European Parliament and Council.