挪威Datatilsynet对微软旗下Xandr罚款9200万挪威克朗：经实时竞价转发Grindr用户性取向数据，创该局历史最高罚单

挪威数据保护局（Datatilsynet）于2026年10月12日宣布，对微软旗下广告业务Xandr Inc.处以9200万挪威克朗行政罚款，约合960万美元或850万欧元。这份54页的监管决定正式日期为2026年10月2日，认定Xandr对从约会应用Grindr接收的敏感用户数据实施了非法处理。该局指出，这是其迄今为止开出的最高额罚单。

事实层面，监管机关审查了2018年7月20日至2020年4月7日之间持续627天的非法处理期间。案件最初由挪威消费者委员会于2020年1月14日提出投诉，最终裁定作出距投诉已2453天。监管机关表示，案件处理周期过长导致最终罚款金额被下调。Xandr有自决定送达起三周的申诉期。

侵权核心在于实时竞价机制。当用户打开Grindr时，其个人数据会在许多情况下通过Xandr被转发给广告生态中的潜在数千个参与者。Datatilsynet认定Xandr没有处理这些数据的法律依据，并明确拒绝责任互相推诿的做法：Xandr曾辩称其认为Grindr已取得用户同意，但监管机关认为处理此类数据需要明确同意，而Xandr未采取任何措施确保其获得了有效同意。

该局局长Line Coll表示：“责任不能转嫁他人。每家公司都必须自己确保、并且能够证明其有权使用这些数据。此案也表明，广告生态系统对个人而言是多么不透明。当企业不承担责任、互相推诿时，用户的权利在实践中将变得毫无价值。”

本条对广告技术链条上的各方具有直接警示意义。其一，敏感受保护数据的判定不因“中间环节经手”而改变，链路上的每一方都需自证合法基础；其二，罚款金额按Xandr自身年度总收入计算、未计入微软收入，因为相关期间Xandr并非微软旗下公司（微软于2022年以10亿美元收购Xandr），说明企业并购并不自动承继历史合规风险，尽职调查中的合规敞口识别尤为关键；其三，此案与Grindr此前被罚6500万挪威克朗（2021年）构成同一数据链上的上下游连带执法样本。