因非法共享 Grindr 用户敏感数据，挪威数据保护局对微软旗下 Xandr 开出该局史上最大罚单

IT之家 10 月 13 日消息，挪威数据保护局现已对 Xandr 开出 9200 万挪威克朗的行政处罚罚单，折合 860 万欧元（IT之家注：现汇率约合 6,451.3 万元人民币），这是该局迄今为止开出的最高金额罚单。

挪威数据保护局局长莉娜 · 科尔（Line Coll）表示：“本案之所以处以高额罚款，是因为我们查实的违规情节十分严重。挪威数千名用户的敏感数据遭到非法共享。”

Xandr 充当中间方，将挪威 Grindr 用户的个人数据（包括能够反映性取向的信息）转发给多达数千家其他企业。Xandr 的抗辩理由是，他们认为 Grindr 已经获取了用户授权，但挪威数据保护局并不认可企业之间可以互相推诿责任。

科尔称：“我们要传递的核心信息是，数据保护责任不能转嫁给他人。每家企业都必须自行确保，并且能够拿出凭证，证明自身处理个人数据的行为合法。本案也体现出广告生态体系对个人而言透明度极低。一旦企业不愿担责、互相甩锅，用户的权利实际上就形同虚设。”

本案始于 2020 年，挪威消费者委员会向挪威数据保护局投诉广告技术公司 Xandr（当时名为 AppNexus，现隶属于微软）。

挪威数据保护局现已认定，该公司处理挪威 Grindr 用户个人数据没有合法依据。Grindr 是一款面向男同性恋、双性恋、跨性别者与酷儿群体的基于地理位置的约会应用。

侵权行为的核心是 Xandr 参与所谓实时竞价流程，同时扮演买方与卖方两端角色。每当用户打开 Grindr，其个人数据大多会经由 Xandr，流转至广告生态中数千个参与方。广告商之间借此竞价投放定向广告，整个过程对用户完全隐蔽。

什么是实时竞价？

实时竞价是广告行业的一项技术，带有广告位的网站与应用会将访客和用户的个人数据分享给广告平台。

不同广告商通过竞价，争夺向该用户展示广告的机会，个性化广告由此实现。这类交易自动完成，在短短一瞬间即可结束。

科尔说：“这件事充分说明我们的隐私何其脆弱。个人数据一旦外泄，就很难追踪其去向与使用方式。我们讨论的这类私密信息，用户已经失去控制权。这些信息还能和其他数据结合，勾勒出一份极其详尽的个人生活画像。”

使用 Grindr 本身就属于能够表明性取向的信息，这类信息受到特殊保护。2021 年 Grindr 因同类违规被处以 6,500 万克朗（现汇率约合 6,534.1 万元人民币）罚款时，博尔加廷上诉法院也作出过相关裁定。

挪威数据保护局认定，处理这类个人数据必须获得明确授权，但 Xandr 没有采取任何措施确认自身已拿到有效的用户许可。

科尔表示：“相反，该公司认定这件事是 Grindr 的责任。Xandr 没有核验 Grindr 获取的授权是否有效，也没有采取任何手段，确保自身的数据处理行为具备合法依据。”

挪威数据保护局判定，Xandr 与 Grindr 属于共同数据控制者。

行政处罚必须具备惩戒效果，与违规行为相称，并对 Xandr 以及其他市场主体形成震慑。Xandr 是广告技术行业头部大型企业，其商业模式的核心本身就是处理个人数据。该公司从非法共享个人数据的行为中直接获取经济收益，这是核定罚款金额的重要考量因素。

违规行为持续近两年，时间范围为 2018 年 7 月至 2020 年 4 月。这种长期持续的违规操作，在罚金核算时被认定为加重情节。

罚款金额依据 Xandr 自身全年总营业额计算，并未采用微软的营收数据，因为涉案期间 Xandr 还未归入微软旗下。

Xandr 在收到该处罚决定书后，拥有三周时间提起上诉。