当地时间10月12日，挪威数据保护局（Norwegian Data Protection Authority）开出该机构有史以来最大一张罚单。微软旗下广告技术公司Xandr因未获得有效同意，在实时广告竞价中违法收集并将挪威Grindr用户的敏感数据共享给数千家广告公司，被处以9200万挪威克朗（约合人民币6458万元）罚款。

挪威数据保护局公布处罚。

　　案件源头可追溯至2020年，挪威消费者委员会向数据保护局投诉Xandr（彼时名为AppNexus），称其在缺乏合法授权的情况下，通过实时广告竞价机制，将挪威Grindr用户的个人信息（包括可反映性取向的敏感数据）共享给众多广告公司并用于投放个性化广告。公开信息显示，Grindr是一款主要为男同性恋、双性恋、跨性别者等群体提供社交服务的软件，目前用户覆盖全球近200个国家和地区。

　　南都记者注意到，这起处罚的核心争议之一，在于Xandr是否必须自行验证Grindr用户同意的有效性，还是可以将数据合规的责任完全推给Grindr——这与Xandr在实时广告竞价中扮演的角色有关。

　　从处罚书提到的广告竞价基本流程看，Xandr相当于一个“中介平台”，虽不直接参与买卖广告，但运营着一个连接广告买卖双方的交易平台。具体而言，当用户打开一个接入Xandr广告代码的App或网页，该动作会触发一次广告请求。Xandr察觉到请求后，便立即向平台上所有接入的广告主发出竞价邀请，广告主根据Xandr提供的整合用户数据、页面内容，在极短时间内报出价格，Xandr选出报价最高的一方，让其广告素材展示在用户眼前。

　　处罚书提到，Xandr曾辩称只是遵循Grindr的指示行事，Grindr已就数据共享等问题取得了用户同意，自身无需再行验证。然而，挪威数据保护局驳回了这一理由，认为作为实时广告竞价流程中的关键角色，Xandr在供应端和需求端都自主决定数据处理方式并从中获利，因此属于“共同控制者”，其法律义务不会通过与Grindr的合同转嫁出去。

　　挪威数据保护局负责人莉娜·科尔（Line Coll）公开表示，此案所涉及的违法行为性质十分严重，“数据保护责任不能转嫁给他人，每家公司都必须自己确保并能够证明被授权使用这些数据。”

　　罚金是如何确定的？处罚书明确，由于此案发生在2022年微软收购Xandr之前，根据欧盟《通用数据保护条例》（GDPR）规定，罚款金额依据Xandr自身全年总营收而非微软营收来计算，上限为2000万欧元。目前微软方面回应称正对处罚结果开展评估，是否提起上诉尚不得知。