挪威对微软旗下Xandr处以创纪录的860万欧元罚款，因其转发Grindr数据

挪威数据保护局对Xandr处以860万欧元（962万美元）罚款，原因是该公司非法将Grindr用户的敏感数据转发给广告商。Xandr是AT&T在收购AppNexus后建立的广告技术部门，后归微软所有。侵权行为发生于2018年7月至2020年4月，数据保护局称该违规“非常严重”，足以处以该机构有史以来开出的最大行政罚款，罚款金额按Xandr在该两年窗口期内的总年营业额计算，该时段早于微软的收购。Xandr有三周时间提出上诉；微软表示正在审查该决定。

其机制是实时竞价。当一个人打开Grindr时，其个人数据在许多情况下会通过Xandr转发给可能数千个行为主体，广告商则竞价展示定向广告——而用户对此毫不知情。这些数据包含揭示性取向的信号，属于欧洲隐私法下的特殊类别信息。数据保护局认定Xandr与Grindr为共同控制者，因此负有获取用户同意的责任；Xandr没有确保自身处理行为具有法律依据，而是指向Grindr，称其假定这款约会应用已收集了同意。

此案始于2020年挪威消费者委员会与奥地利隐私非营利组织noyb共同提出的投诉，指控Xandr未经明确同意非法共享挪威用户的个人数据。Xandr作为公司实体此后已不复存在——AT&T于2018年6月收购AppNexus后组建了该公司，于2021年12月下旬将其出售给微软，该品牌于2023年6月并入Microsoft Ads——但责任归属于实施处理行为的实体。该决定作出前一个月，Grindr刚支付2600万英镑以了结一起因其共享用户数据（包括HIV感染状况）而在英国提起的诉讼。

860万欧元（962万美元），为挪威数据保护局史上最大罚款，按Xandr 2018至2020年的营业额计算；有三周时间提出上诉。

作为共同控制者，Xandr需要自身具备处理数据的法律依据，不能简单假定Grindr已获得用户同意。

实时竞价将每次Grindr应用打开事件转发给可能数千个竞标者——用户无从知晓，且数据一旦发出便无法控制。

这些数据揭示了性取向，属于GDPR下的特殊类别信息，因此数据保护局开出了创纪录罚款而非例行罚款。

罚款按Xandr在侵权窗口期内的营业额计算，该时段早于微软的所有权，因此处罚针对的是行为本身，而非当前所有者。

作为中介并不能成为挡箭牌：任何符合共同控制者身份的主体都要对同意问题负责，即使数据是由他人收集的。

Xandr有三周时间对该决定提出上诉，微软表示正在审查该决定并评估其选项。Noyb称该罚款是“对在线广告和商业监控行业的重大打击”。该决定完成了一个循环：该循环始于Grindr自身的数据做法在2021年招致挪威最大隐私罚款——如今，购买并转售该访问权限的广告技术中介也遭到了罚款。