微软旗下 Xandr 被挪威重罚 9200 万克朗：Grindr 敏感数据流入数千家公司
挪威数据保护局对微软旗下 Xandr 开出 9200 万克朗创纪录罚单：其经实时竞价把含性取向线索的 Grindr 用户数据传给了数千家公司。
挪威数据保护局 Datatilsynet 10 月 12 日宣布，对微软旗下的广告技术公司 Xandr 处以 9200 万挪威克朗（约合 850 万欧元）的违规罚款——这是该局成立以来开出的最高罚单。Xandr 前身是广告技术公司 AppNexus，2022 年并入微软。监管机构认定，2018 年 7 月至 2020 年 4 月间，Xandr 在没有合法依据的情况下，把交友应用 Grindr 用户的数据——包括能指向性取向的敏感信息——经实时竞价系统传给了可能数千家公司，数以千计的挪威用户受影响，且 Xandr 与 Grindr 构成共同控制者，双方都要为合规负责。
要点
- 罚款 9200 万克朗，按 Xandr 自身营业额计算，不按微软营收——事发时 Xandr 还不是微软的一部分。
- 违规期近两年（2018 年 7 月至 2020 年 4 月），数据经实时竞价到达「可能数千家公司」，这是 Datatilsynet 史上最高罚单。
- 监管认定 Xandr 与 Grindr 为共同控制者：广告数据链的中介环节与应用方同样担责，「合规责任不能转给他人」。
背景
这条执法线走了六年多。2020 年初，挪威消费者委员会（Forbrukerrådet）发布报告《Out of Control》，记录一款普通安卓手机上的应用如何把数据源源不断传给第三方；随后该委员会与数据保护组织 noyb 就 Grindr 和一批广告技术公司（含当时还叫 AppNexus 的 Xandr）提起投诉。Grindr 本尊在 2021 年被罚 6500 万克朗，上诉后被法院维持。这次的差别在于落点：上一张罚单打的是应用本身，这一张打的是广告数据链的中介——Xandr 在实时竞价里同时坐在买方和卖方两侧，把含性取向线索的敏感数据当成竞价的原料向外分发。
事实部分
| 项目 | 内容 |
|---|---|
| 罚款金额 | 9200 万挪威克朗（约 850 万欧元），Datatilsynet 史上最高 |
| 被罚主体 | Xandr（前身 AppNexus，现属微软） |
| 违规期间 | 2018 年 7 月 – 2020 年 4 月 |
| 涉及数据 | Grindr 用户个人数据，含性取向线索（GDPR 敏感类目） |
| 传播方式 | 实时竞价（RTB），Xandr 买卖两侧均有参与 |
| 接收方数量 | 可能数千家公司 |
| 影响用户 | 数千名挪威用户 |
| 责任认定 | Xandr 与 Grindr 为共同控制者 |
| 罚款基准 | Xandr 自身年营业额，不含微软营收 |
| 上诉期 | 收到决定后 3 周 |
几个关键认定值得单独说。其一，Datatilsynet 认为 Xandr 不是纯技术管道：它对数据处理的目的一部分有自己的决定权，所以与 Grindr 同为「共同控制者」，各自都要对合规负责。其二，Xandr 曾辩称自己以为 Grindr 已经拿到用户同意；监管不接受这种说法——每个经手实时竞价的参与者都必须自行确认同意有效，数据保护责任不能转嫁给别人。其三，罚款为什么定在这个数：加重情节包括违规持续近两年、公司核心业务就是处理个人数据、并且直接从中获利。计算基数取 Xandr 自己的年营业额，监管明确说明微软的营收不参与计算，因为违规发生时 Xandr 尚未并入微软。
各方说法
微软的回应经 NRK 与 VG 报道：一位发言人表示「用户隐私是 Microsoft 的最高优先级」，强调这项决定涉及的是微软收购 Xandr 之前的行为，且此后法律标准与实践仍在演变；公司正在评估应对方案。
投诉方把这张罚单称作一场隐私胜利。noyb 的数据保护律师 Felix Mikolasch 说，广告技术公司「常年躲在后台运作，很少被追责」；挪威消费者委员会数字政策主任 Finn Myrstad 称这张罚单「向所有靠追踪和画像消费者吃饭的生意发出了有力信号」。Forbrukerrådet 局长 Mette Fossum 在接受 VG 采访时说得更直白：当数字广告系统里每个拿到个人数据的参与者都要为有效同意负责时，「很难看出今天的监控式营销如何还能是合法的」。
更深的分歧在立法方向上。noyb 同时警告，欧盟委员会在大型科技公司游说下推动的 Digital Omnibus 一揽子修订，拟把在线追踪 ID 排除出 GDPR 的保护范围；若照此通过，Xandr 这类追踪行为的追责门槛会被重新抬高——一边是创纪录罚单，一边是给同类行为松绑的立法，两条线正在同时推进。
编辑判断
对做广告、增长或任何靠用户数据变现的产品的人，这份决定书把三件事写得很清楚。第一，合规责任不可外包：买流量还是卖流量，只要碰了数据，就要自己验证同意链——上游 SDK 的隐私政策、合作伙伴的口头承诺都不构成免责理由。第二，罚款基数按出事主体的营业额算，收购并不消灭标的公司的历史责任：尽调广告资产时，它的数据合规史应该和专利、诉讼一样被翻一遍。第三，挪威数据保护局史上最高的一张罚单，落在了广告数据链的中介环节——整条实时竞价链上的每个座位，理论上都要重新做一遍同意审计。
也要诚实地说出另一面：违规行为已经过去六年多，微软接手的是历史包袱；而 Digital Omnibus 若按草案通过，同类行为未来在欧盟的追责会变得更难。执法高峰与立法松绑同时发生，这本身就是广告技术行业处境的写照。广告变现对 AI 公司正变得越来越重要——OpenAI 已经把广告塞进图片生成结果——监控式广告的合规成本迟早会写进它们的账本。今年监管机构对数据与 AI 公司的多线并进，此前我们已经梳理过美国监管合围 AI 实验室的节奏；欧洲这张罚单说明，广告数据链是另一条同样会咬人的执法线。
接下来
Xandr 有三周上诉期，从收到决定书起算，微软称正在评估选项。值得盯两件事：上诉是否提起——Grindr 案上诉的结果是罚单维持，过程会逼出一份说理更完整的判决；以及 Digital Omnibus 在欧洲议会的进展，它决定下一个「Xandr」还有没有罚单可领。