摘要

  • Datatilsynet 在 2026 年 10 月 2 日的决定中对 Xandr 处以 9200 万挪威克朗（约 860 万欧元）罚款，涉及 2018 年 7 月至 2020 年 4 月期间挪威 Grindr 用户的数据处理。
  • 监管机构把 Xandr 认定为竞价两侧的共同控制者，认为它不能只依赖 Grindr 收集的同意，而必须核验同意是否有效并覆盖自身处理。

罚款落在广告链条的中间环节

挪威数据保护局 Datatilsynet 说，这是该机构迄今最高的罚款。决定日期为 2026 年 10 月 2 日，处罚对象是 Xandr Inc.，金额为 9200 万挪威克朗，约合 860 万欧元。争议来自 Grindr 用户数据参与广告实时竞价的历史处理活动。欧洲数据保护委员会于 10 月 16 日将其列为挪威监管机构的新闻。

案件源于挪威消费者委员会 2020 年提出的投诉。Datatilsynet 将调查范围限定在 2018 年 7 月 20 日至 2020 年 4 月 7 日，因此这不是对 Xandr 当前业务的审计。监管机构认定，竞价请求可能包含用户是否使用 Grindr、广告标识符和 IP 地址。它认为，使用该应用本身能够揭示性取向，属于 GDPR 第 9 条所指的特殊类别个人数据。

实时竞价常被描述为毫秒级的技术交换：应用提供广告机会，平台传递竞价请求，买方争夺展示位置。可是，技术流程也决定了哪些参与方会处理哪些信息。用户不一定能看见请求流转，但这不会让其中的处理自动变成无人负责的后台动作。

同意不是可以沿链条转交的凭证

Datatilsynet 认定，Xandr 同时参与供应方和需求方平台环节，与 Grindr 构成共同控制者。监管机构认为，相关处理缺少 GDPR 第 6 条第 1 款要求的合法依据，也没有第 9 条要求的有效例外。对性取向数据而言，明示同意是决定讨论的依据；但 Xandr 依赖 Grindr 的同意，没有自行确认其有效性以及是否覆盖 Xandr 的处理。

这项结论不等于全面禁止实时竞价。它针对的是责任如何跨越商业和技术边界：共同控制者必须为自己的处理确认合法基础，不能把另一方的用户界面当作自动适用的保证。合同可以安排谁收集或传递信息，却不能代替每个参与方核对自己的目的和处理范围。

Datatilsynet 表示，Xandr 将信息转发给“可能多达数千家”其他公司。这里的“可能”不能省略。公开决定支持监管机构对竞价请求中数据处理的认定，但没有证明每个潜在接收方都实际获得或保留了数据。生态链难以看清是重要问题，却不应被写成已核实的接收方数量。

同一数据事件，不同控制者

Datatilsynet 曾在 2021 年另行处罚 Grindr 6500 万挪威克朗，处理的是 Grindr 自身的数据披露行为。2026 年这份决定审查的是 Xandr 在同一历史广告环境中的作用。两者不是对同一公司累计出的一张罚单，也不是把旧决定简单重述一次；新决定检验中介本身是否应为自己的处理建立合法依据。

这一区分对合规安排很实际。应用不能认为接入广告平台后自身责任就消失，平台也不能假定应用展示的同意覆盖所有下游用途。参与方可以分担操作，但只要各自都决定或参与处理，就仍需弄清自己接触的数据、用途和证据。

金额跟随责任主体和发生时期

Microsoft 于 2022 年收购 Xandr，晚于调查涉及的行为。Datatilsynet 说明，罚款以 Xandr 自身的年度营业额计算，没有采用 Microsoft 的营业额，因为在相关时期 Xandr 尚未属于 Microsoft。这个边界把罚款计算对应到被调查的公司和时间，而不是事后将母公司的规模套用到历史行为。

Xandr 可在收到决定后三周内提出上诉。监管机构的公开通知没有写明收件日期，因此不能仅从 10 月 2 日推算截止日，也没有确认是否已经上诉。当前可确认的是挪威监管机构已作出最终行政决定，程序上仍有公告所述的救济渠道。

适用既有规则，而非创设新禁令

决定是将现有 GDPR 义务用于一段具体的历史竞价流程。它没有认定所有竞价平台天然都是共同控制者，也没有把全部广告竞价判为违法，更没有把 2018 至 2020 年的行为归到当时尚未收购 Xandr 的 Microsoft 名下。判断取决于参与方在实际数据流中的角色及其自己的处理。

Daniel Kade 提出，可以为每个参与方和每个目的保存一份可核验的同意凭据，记录处理的数据、参与方角色、展示给用户的同意版本、传递给接收方的范围、所依赖的法律依据，以及接收方是否独立检查覆盖范围。这是编辑建议，并非 Datatilsynet 发布的要求。它的价值在于让广告请求发出前就能检查交接，而非等到监管调查后再重建。

公开记录的边界也很明确：被调查的行为在 2020 年 4 月结束，不能据此推断 Xandr 或 Microsoft 当前如何运营；也无法列出所有潜在接收者或确定上诉结果。但它指出了一个制度性问题：同意界面属于谁，并不决定谁要为后台的数据处理负责。

来源