挪威数据保护局对Meta因行为广告中缺乏有效的反对机制且违法继续处理个人数据处以每日100万挪威克朗罚款案（2023年7月）

【案件背景】
2023年7月，挪威数据保护局（Datatilsynet）基于对Meta Ireland的紧急程序，发布了针对Facebook和Instagram在挪威的行为广告（Behavioral Advertising）的临时禁令。该行动源于2022年12月EDPB的约束力决定和其后爱尔兰DPC于2023年1月的最终决定——EDPB和DPC均认定Meta Ireland不能将“合同必要性”或“合法权益”作为行为广告的法律依据，必须依赖用户的知情同意。Meta Ireland在DPC决定后调整了其法律依据，转为使用“合法权益”。挪威Datatilsynet认为这一转变不合法，在向EDPB申请紧急程序后，于2023年7月发布自己独立的紧急禁令。禁令持续时间为2023年8月4日至2023年10月底（后延长至11月），违规期间每日罚款100万挪威克朗。

【违法事实】
经调查查明：
（1）Meta Ireland在其广告系统中使用先进的AI算法（深度学习模型）分析用户在Facebook和Instagram上的行为数据——包括点赞、分享、浏览时长、点击的广告、访问的外部网站、位置信息——来构建详细的用户兴趣画像，并据此向用户推送个性化广告（行为广告）。该行为广告系统在挪威涉及约390万用户。
（2）EDPB和DPC已分别在2022年和2023年做出具有约束力的决定，认定Meta Ireland不能以“合同必要性”或“合法权益”作为行为广告的法律依据，必须取得同意（GDPR第6(1)(a)条）。但Meta Ireland在DPC决定后的法律依据转换（从“合同必要性”转为“合法权益”）实质上是换了一个说法继续以非同意为基础处理数据。
（3）Meta Ireland的行为广告系统在其隐私设置中提供了“反对”（Object）选项，但反对后仅停止了基于行为的定向广告，并未停止分析用户行为数据本身——即AI仍在后台收集和分析用户行为以构建画像，只是不将广告定向到这些用户。Datatilsynet认定：数据的收集和分析本身就是一种处理活动，如果缺乏法律依据，该处理本身就违法，而非仅广告投放环节违法。
（4）Meta Ireland未向挪威用户提供一个简单的、一键式的行为广告同意/拒绝界面。用户须经过多层菜单操作才能找到相关设置，且界面设计使用了大量的“暗模式”（Dark Pattern）——如将“允许个性化广告”设为默认选中的显眼按钮，而拒绝选项颜色暗淡且置于不显眼的位置。
（5）面对所有批评，Meta Ireland已提出将在2023年11月推出基于订阅的付费无广告模式（Pay or Okay），允许用户选择每月支付费用以不使用行为广告，否则须接受行为广告。但Datatilsynet和多个欧洲DPA已对该付费模式的“同意”有效性表示质疑。

【处罚决定】
挪威Datatilsynet的决定：
（一）自2023年8月4日起，对Meta Ireland实施紧急临时禁令，禁止其在挪威境内以“合法权益”为基础进行行为广告的数据处理；
（二）违规期间每日罚款100万挪威克朗（约8.5万欧元）；
（三）禁令持续至2023年10月底，后因Meta提出订阅模式，Datatilsynet将决定转交EDPB评估——罚款累计约9900万挪威克朗。
2023年10月底，EDPB发布紧急决定，将挪威的临时禁令转变为适用于整个欧盟/欧洲经济区（EEA）范围的永久性禁令，Meta Ireland被全面禁止以“合法权益”作为行为广告的法律依据。

【典型意义】
本案是AI算法驱动的行为广告领域最具冲击力的执法行动之一：
第一，“合法权益”在行为广告场景下被彻底否认为合法依据。EDPB通过挪威案将其立场从单一成员国的约束扩展到全EEA范围，对依赖行为广告的整个数字广告生态系统产生了震荡效应。
第二，“反对”不等于“停止数据处理”。Datatilsynet的技术性分析厘清了一个关键合规误区：很多企业认为提供了反对选项后就合规了，但数据处理本身如果缺乏基础合法性，提供反对选项并不能事后修复合法性问题。
第三，暗模式（Dark Pattern）在同意机制中的使用被认定为加剧违法。GDPR强调同意须是“自由给予的”，而设计上“诱导”用户选择特定选项的界面违反了这一原则。
第四，本案推动了Meta从“免费+广告”模式转向“付费去广告”模式的商业决策（2023年11月在EEA推出），引发了关于“支付或同意”（Pay or Okay）模式是否符合GDPR的新一轮法律争议和监管审查。