LinkedIn违法处理用户数据用于定向广告案

【案件背景】
2024年10月22日，爱尔兰数据保护委员会（Data Protection Commission, DPC）在对LinkedIn的数据处理行为进行长达六年调查后，作出最终裁决，对LinkedIn处以总计3.1亿欧元的行政罚款，并发出正式谴责和合规令。该调查源于2018年5月法国非营利数字权利组织La Quadrature du Net以8540名LinkedIn用户名义向法国CNIL提出的集体投诉——该投诉根据GDPR一站式机制移交给作为LinkedIn欧洲总部所在地监管机构的爱尔兰DPC主导处理。这是GDPR生效以来数字广告领域中金额最高的罚款之一。

【违法事实】
DPC调查的核心问题是LinkedIn为进行行为分析（behavioural analysis）和定向广告（targeted advertising）而处理用户个人数据的合法性基础。LinkedIn声称其处理基于GDPR第6条的三项法律基础，但DPC经细致分析后全部予以否定：

一、关于同意的否定（第6条第1款a项）：DPC认定LinkedIn用于处理第三方数据的同意，不符合GDPR关于自由给予、具体、知情且明确的标准——在LinkedIn平台环境下，用户实际上无法在不接受行为广告追踪的情况下使用服务。

二、关于合同必要性的否定（第6条第1款b项）：行为分析和定向广告处理活动并非履行与用户合同所客观上必不可少——LinkedIn的核心合同服务是提供职业社交平台，将用户数据用于广告分析属于附加商业目的。

三、关于正当利益的否定（第6条第1款f项）——本案最核心的论证：DPC运用欧盟法院CJEU确立的三步检验法审查。第一步，DPC认可LinkedIn通过定向广告产生收入的利益主张。第二步，DPC基本认可处理为实现该利益所必要。但第三步利益权衡中DPC认定LinkedIn失败——尽管LinkedIn对社会有积极贡献（如帮助求职者展示技能、匹配工作机会），但DPC识别出对数据主体的实质性负面影响：推断类别范围广泛；存在基于推断的性别或年龄等特征在专业场景中排除某些人看到特定职位广告的特别风险；推断可能出错；这种处理不在用户在该特定情境下的合理预期范围之内。结论：数据主体的利益和基本权利优先于LinkedIn的正当利益。

四、透明度义务违反：LinkedIn未能按GDPR第13条第1款c项和第14条第1款c项要求，向用户充分说明数据处理活动的目的和法律依据。

【处罚决定】
1. 三项行政罚款合计3.1亿欧元；2. 发出正式谴责；3. 发出合规令，要求LinkedIn在三个月内将数据处理调整至符合GDPR要求。LinkedIn已提起法律上诉。

【典型意义】
本案是GDPR实施以来关于数字广告行业数据处理合法基础的最重要判例之一。核心启示：正当利益作为合法基础需进行极其严格的三步测试，不能作为兜底条款随意引用；在行为广告场景中，数据主体的权利和自由往往压倒商业平台的经济利益——尤其是当推断数据可能导致基于受保护特征的歧视性后果时；合理预期是正当利益评估的关键因素。