Grindr未经有效同意分享用户敏感数据案

【案件背景】
2021年12月，挪威数据保护局（Datatilsynet）对知名LGBTQ+约会应用Grindr作出行政处罚决定，处以6500万挪威克朗（约合555万欧元/600万美元）罚款。Grindr随即向挪威隐私上诉委员会（Personvernnemnda）提出申诉，该委员会于2023年9月维持了Datatilsynet的全部认定和罚款决定。Grindr随后向奥斯陆地方法院提起诉讼，2024年7月1日法院驳回其所有主张，维持罚款决定。Grindr进一步上诉至Borgarting上诉法院，经2025年8月庭审后，上诉法院于2025年10月21日再次驳回上诉，罚金维持。至此，该案历经三级审级（监管机构→上诉委员会→地方法院→上诉法院），所有裁定均一致认定Grindr违法，处罚决定已生效且不可再上诉。案件起源是2020年挪威消费者委员会（Forbrukerradet）对Grindr提起的投诉，指控其将用户个人数据分享给第三方广告合作伙伴用于行为定向广告。

【违法事实】
法院认定Grindr存在以下严重违反GDPR的行为：
1. 未取得有效同意即分享个人数据：Grindr将用户的GPS位置、IP地址、广告ID、年龄、性别、设备信息及应用内用户名等个人数据，未经有效同意即与多家第三方商业机构（广告合作伙伴）分享，用于行为定向广告。用户必须同意隐私政策的全部条款才能使用应用，未就被分享给第三方获取明确同意，Grindr声明的「同意」不符合GDPR第4条对有效同意的定义。
2. 分享的数据构成特殊类别（敏感）个人数据：上诉法院确认Datatilsynet的认定，一个人作为Grindr（其市场定位特别以LGBTQ+社群为目标）注册用户的数据，应被视为与其性取向有关的个人数据，符合GDPR第9(1)条所定义的特殊类别个人数据。因此分享该数据需满足GDPR第9(2)(a)条的「明确同意」要求，而Grindr并未取得。
3. 未适当告知用户：Grindr未能适当向用户传达其个人数据将被分享给第三方用于广告目的的信息，违反了透明度义务。

【处罚决定】
1. 行政罚款6500万挪威克朗（约合555万欧元）；
2. 在确定罚款金额时，考虑了违规的严重性、Grindr的规模和财务状况、违规持续时间（2018年至2020年）、受影响人数及已采取的补救措施；
3. 挪威DPA局长Line Coll表示，「这是一项根本性和重要的数据保护权利裁决。我们很高兴我们的评估在三轮上诉中得到了维持。」

【典型意义】
本案是GDPR框架下关于「同意作为合法基础」的标志性案例，其核心启示有三：第一，捆绑同意无效——用户必须接受全部隐私政策条款才能使用服务时，获得的同意不构成GDPR下的有效同意，因为用户没有真正的自由选择权；第二，使用LGBTQ+约会应用这一事实本身即构成关于性取向的敏感数据，向第三方分享此类数据必须满足「明确同意」的更高标准，而非一般同意；第三，同意不能通过「默示」或「继续使用即视为同意」的方式获得——用户必须被明确询问并主动作出肯定性选择。该案对全球依赖行为定向广告的社交平台具有深远影响，表明监管机构正对「同意」要件进行严格审查。