挪威對微軟旗下Xandr開出創紀錄860萬歐元罰款，理由為轉傳Grindr資料

挪威資料保護局對Xandr處以860萬歐元（962萬美元）罰款，理由是該公司非法將Grindr使用者的敏感資料轉傳給廣告商。Xandr是AT&T以AppNexus為基礎建立的廣告科技部門，後來由微軟持有。侵權行為發生於2018年7月至2020年4月，資料保護局稱此違規「非常嚴重」，足以構成該局歷來開出的最高行政罰款；罰款金額依Xandr在該兩年期間的總年度營業額計算，該期間早於微軟收購。Xandr有三週時間提出上訴；微軟表示正在審查該決定。

其運作機制是即時競價。當使用者開啟Grindr時，其個人資料在許多情況下會經由Xandr轉傳給可能多達數千個行為者，廣告商則競價投放定向廣告，而使用者並不知情。這些資料包含可揭示性傾向的訊號，屬於歐洲隱私法下的特殊類別資訊。資料保護局認定Xandr與Grindr為共同控制者，因此Xandr有責任取得使用者同意；然而Xandr並未確保自身處理行為具備法律依據，反而指向Grindr，稱其假定該交友應用程式已取得同意。

本案始於2020年挪威消費者委員會與奧地利隱私非營利組織noyb提出的申訴，指控Xandr在未取得明確同意的情況下非法分享挪威使用者的個人資料。Xandr作為公司實體此後已不復存在——AT&T於2018年6月收購AppNexus後成立該公司，並於2021年12月下旬將其出售給微軟，該品牌則於2023年6月併入Microsoft Ads——但責任歸屬於實際進行資料處理的實體。此決定出爐的一個月前，Grindr才支付2,600萬英鎊，就一宗涉及分享使用者資料（包括HIV狀態）的英國訴訟達成和解。

860萬歐元（962萬美元），為挪威資料保護局歷來最高罰款，依Xandr 2018至2020年的營業額計算；有三週時間提出上訴。

作為共同控制者，Xandr需要自身的處理法律依據，不能逕自假定Grindr已取得使用者同意。

即時競價將每次Grindr應用程式開啟轉傳給可能多達數千個競價者——使用者無從得知，且一旦送出便無法控制。

這些資料揭示性傾向，屬於GDPR下的特殊類別資訊，因此資料保護局開出創紀錄罰款，而非一般罰款。

罰款依Xandr在侵權期間、即微軟持有之前的營業額計算，因此罰款追究的是行為本身，而非現任所有者。

身為中介者並非護盾：凡是符合共同控制者身分者，就必須承擔同意問題的責任，即使資料是由他人蒐集亦然。

Xandr有三週時間對該決定提出上訴，微軟表示正在審查該決定並評估其選項。noyb稱這筆罰款是「對線上廣告與商業監控產業的重大打擊」。此決定形成一個完整的循環：始於Grindr自身的資料實務在2021年招致挪威歷來最高隱私罰款；如今，買下並轉售該存取權的廣告科技中介商也同樣遭到罰款。