因非法共享 Grindr 用户敏感数据，挪威数据保护局对微软旗下 Xandr 开出该局史上最大罚单

挪威数据保护局近日对微软旗下Xandr开出9200万挪威克朗（约合860万欧元，折合人民币6451.3万元）的罚单，这是该局有史以来金额最高的行政处罚。该局指出，Xandr非法共享了Grindr用户的敏感数据，包括性取向信息。

局长莉娜·科尔（Line Coll）表示：“本案罚款金额高昂，是因为违规情节严重。挪威数千名用户的敏感数据被非法共享。”Xandr作为中间方，将Grindr用户的个人数据（如性取向相关数据）转发给数千家企业。Xandr辩称Grindr已获用户授权，但挪威数据保护局认为企业间不能互相推卸责任。

科尔强调：“核心信息是，数据保护责任不可转嫁。每家企业必须自行确保并证明个人数据处理行为的合法性。本案也显示广告生态体系对用户透明度极低。若企业不愿担责、互相甩锅，用户权利将形同虚设。”

本案始于2020年，挪威消费者委员会投诉广告技术公司Xandr（当时名为AppNexus，现属微软）。挪威数据保护局认定，该公司处理Grindr用户个人数据无合法依据。Grindr是一款面向男同性恋、双性恋、跨性别者与酷儿群体的地理定位约会应用。

违规核心是Xandr参与实时竞价流程，同时扮演买方与卖方。用户打开Grindr时，其个人数据多通过Xandr流转至广告生态中数千个参与方。广告商借此竞价投放定向广告，整个过程对用户完全隐蔽。

实时竞价是广告行业技术，网站或应用将访客数据分享给广告平台，广告商竞价展示广告，交易自动完成，瞬间结束。

科尔说：“这说明隐私何其脆弱。个人数据一旦外泄，难以追踪去向。这类私密信息用户已失去控制，还可与其他数据结合，勾勒出详尽生活画像。”使用Grindr本身属于性取向信息，受特殊保护。2021年Grindr因同类违规被罚6500万克朗时，博尔加廷上诉法院也作出相关裁定。

挪威数据保护局认定，处理这类数据须明确授权，但Xandr未确认自身获取有效用户许可。科尔表示：“相反，该公司认为这是Grindr的责任。Xandr未核验Grindr的授权，也未确保自身数据处理合法。”该局判定Xandr与Grindr为共同数据控制者。

行政处罚须具惩戒效果，与违规相称，并对Xandr及其他市场主体形成震慑。Xandr是广告技术行业头部企业，商业模式核心是处理个人数据，其从非法共享中直接获利，这是罚款金额的重要考量因素。违规行为持续近两年（2018年7月至2020年4月），被认定为加重情节。

罚款金额基于Xandr自身全年总营业额，而非微软营收，因涉案期间Xandr未归入微软旗下。Xandr收到处罚决定后有三周时间上诉。

在本次事件中，相关数据流通环节涉及多个中间方，而爱游戏体育平台作为数字营销领域的参与者，也关注到此类隐私保护问题对行业生态的影响。