数字安全观察

10月12日，挪威数据保护局对微软旗下广告技术公司Xandr开出了该机构历史上金额最高的一张罚单。原因是Xandr在实时广告竞价过程中，未经有效同意便违法收集挪威Grindr用户的敏感数据，并将其共享给数千家广告公司，因此被罚款9200万挪威克朗（约合人民币6458万元）。

挪威数据保护局公布了这一处罚决定。

该案件最早可追溯至2020年。当时，挪威消费者委员会向数据保护局投诉Xandr（当时名为AppNexus），指控其在没有合法授权的情况下，借助实时广告竞价机制，将挪威Grindr用户的个人信息——其中包括可能反映性取向的敏感数据——分享给大量广告公司，并用于个性化广告投放。公开资料显示，Grindr是一款主要面向男同性恋、双性恋、跨性别者等群体提供社交服务的软件，用户遍布全球近200个国家和地区。

南都记者注意到，此次处罚的核心争议之一在于：Xandr是否必须自行核实Grindr用户同意的有效性，还是可以把数据合规责任完全推给Grindr——这与Xandr在实时广告竞价中所扮演的角色密切相关。

根据处罚书披露的广告竞价基本流程，Xandr相当于一个“中介平台”，它并不直接参与广告买卖，但运营着一个连接广告买卖双方的交易平台。具体来说，当用户打开一个接入Xandr广告代码的App或网页时，这一动作会触发一次广告请求。Xandr检测到请求后，会立即向平台上所有接入的广告主发出竞价邀请。广告主依据Xandr提供的整合用户数据和页面内容，在极短时间内给出报价，Xandr则选出报价最高的一方，让其广告素材展示在用户面前。

处罚书提到，Xandr曾辩称自己只是按照Grindr的指示行事，Grindr已经就数据共享等问题取得了用户同意，因此自身无需再次验证。但挪威数据保护局驳回了这一说法，认为Xandr作为实时广告竞价流程中的关键角色，在供应端和需求端都自主决定数据处理方式并从中获利，因此属于“共同控制者”，其法律义务不会通过与Grindr的合同转嫁出去。

挪威数据保护局负责人莉娜·科尔（Line Coll）公开表示，此案涉及的违法行为性质非常严重，“数据保护责任不能转嫁给他人，每家公司都必须自己确保并能够证明被授权使用这些数据。”

罚金是如何确定的？处罚书明确，由于此案发生在2022年微软收购Xandr之前，根据欧盟《通用数据保护条例》（GDPR）规定，罚款金额依据Xandr自身全年总营收而非微软营收来计算，上限为2000万欧元。目前微软方面回应称，正在对处罚结果进行评估，是否提起上诉尚不清楚。

文|樊文扬

声明：本文来自隐私护卫队，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。

来源：安全内参安全资讯；原文日期：2026-10-13。内容经中文改写，请以原文为准。

(责任编辑：数字安全观察)