挪威因 Grindr 数据共享对 Microsoft 广告公司处以 960 万美元罚款

挪威数据保护局（Datatilsynet）对 Microsoft 旗下的广告公司 Xandr 处以 960 万美元（9200 万挪威克朗）罚款，原因是其在挪威非法处理和共享 Grindr 用户的敏感数据。

该数据保护机构表示，这是其有史以来开出的最大一笔罚单。

"我们在此案中开出如此高额的罚款，是因为我们查明的违规行为非常严重，" Datatilsynet 局长 Line Coll 表示。

"挪威数千名用户的敏感数据遭到非法共享。"

根据该机构的调查结果，2018 年 7 月至 2020 年 4 月期间，Xandr 在 Grindr 内部管理实时广告竞价，可能将用户数据（包括敏感的性取向信息）暴露给数千家公司。

这些竞价的运作方式是：广告商在收到 Xandr 提供的画像信息后，竞价获得向 Grindr 用户展示广告的权利，Xandr 充当中介。

当时，Xandr 与 Grindr 是共同控制者，这意味着它对数据的使用方式负有责任，本应要求并获得数据主体对此类处理的明确同意。

Grindr 是一款主要面向 LGBTQ+ 群体的基于地理位置的交友应用。

据挪威数据隐私机构称，Xandr 假定 Grindr 已获得有效同意，但未采取任何行动加以核实。

"Xandr 疏于核实 Grindr 的同意是否有效，也没有采取任何措施确保其自身的处理行为具备法律依据，" Coll 表示。

结果是，来自挪威及其他国家的 Grindr 用户的敏感信息被暴露给数千家广告商，而用户对此毫不知情，也从未给予明确同意。

奥地利非营利隐私权组织 Noyb 于 2020 年 1 月与挪威消费者委员会（Forbrukerrådet）共同提交了原始投诉，该组织对 Datatilsynet 的决定表示欢迎，称其是"对在线广告技术行业的一次重大打击"。

据该组织称，这一决定遏制了在线广告和商业监控行业大型参与者的不良做法，包括在网站、应用、平台和操作系统之间不受限制且隐蔽地交换敏感用户数据。

"当前的罚款表明，像 Xandr 这样的公司终将为它们不光彩的做法承担责任，" Noyb 表示。

"对人们的兴趣、习惯、位置和行为进行画像分析需要有效同意——而广告技术公司几乎从未获得过这种同意。"

Xandr 现以 Microsoft Advertising 名义运营，有三周时间对该决定提出上诉。

BleepingComputer 就挪威机构的决定联系了 Microsoft 征求评论，一位发言人强调，调查及其结果"聚焦于发生在 Microsoft 收购 Xandr 之前的行为"。

发言人表示，自那以后，法律框架及其解释和执行方式已经发生变化，并补充说 Microsoft 正在"审查该决定并评估我们的选择"。