挪威数据保护局（NDPA）对微软旗下广告技术子公司Xandr开出了一张9200万挪威克朗的罚单，约合960万美元。这是挪威数据保护机构迄今为止开出的最高金额罚单。

处罚的理由是：Xandr涉嫌在未获得"明确同意"的情况下，将Grindr用户的敏感个人数据用于广告投放。挪威数据保护局认为，Xandr只是想当然地假定这款约会应用已经拿到了用户授权，自己并没有去获取同意。

打开网易新闻 查看精彩图片

数据是怎么流出去的

挪威数据保护局在新闻稿中描述了这条数据链路："当一个人打开Grindr时，他的个人数据在很多情况下会通过Xandr传递给广告生态系统中可能多达数千个参与方。"

结果是，广告主可以针对这些数据进行竞价，向用户投放定向广告，而整个过程对用户本人完全不可见。挪威数据保护局用"完全隐藏"来形容这种状态。

这起案件的起点要追溯到2020年。当时挪威消费者委员会向数据保护局提交了针对Xandr的投诉，指控其在未事先获得同意的情况下，非法共享用户个人数据用于商业目的。值得注意的是，投诉发生时，Xandr还不属于微软。

罚款是怎么算出来的

挪威数据保护局解释，之所以在本案中开出"高额罚款"，是因为它认为这起数据滥用行为"非常严重"。罚款金额依据Xandr的年度总营业额计算得出，数据侵权行为发生在2018年7月至2020年4月之间。

Xandr目前有三个星期的时间来决定是否对这张创纪录的罚单提出上诉。

Grindr自己也不干净

虽然本案中被指控的是Xandr，但Grindr自身也曾卷入不当共享敏感用户数据的案件。此前，同一个挪威机构曾以类似理由对这款约会应用开出超过560万欧元的罚单，约合620万美元。

2024年，Grindr还在伦敦遭遇了一起诉讼，指控其共享的数据中包含了用户的HIV感染状况和检测日期。

从时间线看，这起针对Xandr的案件从2020年投诉到最终处罚，跨度超过四年。而Xandr在此期间被微软收购，如今罚单落在了微软子公司的头上。