微软因非法共享敏感数据 被挪威数据保护局罚款6428万

安全学习那些事儿

2026年10月13日 15:00
上海

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

2026年10月12日，据挪威数据保护局网站消息，该局对微软处以9200万挪威克朗罚款，原因是微软非法共享挪威境内数千名用户的敏感数据。该局称，这是其迄今为止开出的最高额罚单。

挪威数据保护局局长莉娜 · 科尔(Line Coll)表示：本案之所以处以高额罚款，是因为我们查实的违规情节十分严重。挪威数千名用户的敏感数据遭到非法共享。

Xandr充当中间方，将挪威Grindr用户的个人数据(包括能够反映性取向的信息)转发给多达数千家其他企业。Xandr的抗辩理由是，他们认为Grindr 已经获取了用户授权，但挪威数据保护局并不认可企业之间可以互相推诿责任。

科尔称：我们要传递的核心信息是，数据保护责任不能转嫁给他人。每家企业都必须自行确保，并且能够拿出凭证，证明自身处理个人数据的行为合法。本案也体现出广告生态体系对个人而言透明度极低。一旦企业不愿担责、互相甩锅，用户的权利实际上就形同虚设。

本案始于2020年，挪威消费者委员会向挪威数据保护局投诉广告技术公司 Xandr(当时名为 AppNexus，现隶属于微软)。

挪威数据保护局现已认定，该公司处理挪威Grindr用户个人数据没有合法依据。Grindr是一款面向男同性恋、双性恋、跨性别者与酷儿群体的基于地理位置的约会应用。

侵权行为的核心是Xandr参与所谓实时竞价流程，同时扮演买方与卖方两端角色。每当用户打开Grindr，其个人数据大多会经由Xandr，流转至广告生态中数千个参与方。广告商之间借此竞价投放定向广告，整个过程对用户完全隐蔽。

科尔说：这件事充分说明我们的隐私何其脆弱。个人数据一旦外泄，就很难追踪其去向与使用方式。我们讨论的这类私密信息，用户已经失去控制权。这些信息还能和其他数据结合，勾勒出一份极其详尽的个人生活画像。

使用Grindr本身就属于能够表明性取向的信息，这类信息受到特殊保护。2021年Grindr因同类违规被处以 6.500万克朗(约合 6.534.1万元人民币)罚款时，博尔加廷上诉法院也作出过相关裁定。

挪威数据保护局认定，处理这类个人数据必须获得明确授权，但Xandr没有采取任何措施确认自身已拿到有效的用户许可。

科尔表示：相反，该公司认定这件事是Grindr的责任。Xandr没有核验 Grindr获取的授权是否有效，也没有采取任何手段，确保自身的数据处理行为具备合法依据。”挪威数据保护局判定，Xandr与Grindr属于共同数据控制者。

罚款金额依据Xandr自身全年总营业额计算，并未采用微软的营收数据，因为涉案期间Xandr还未归入微软旗下。Xandr在收到该处罚决定书后，拥有三周时间提起上诉。

微软Xandr(Xandr)是微软旗下的程序化广告平台，整合了广告技术、数据洞察与媒体资源，帮助企业实现精准广告投放。它依托微软生态(如Office 365、Windows、Bing)提供跨设备、跨渠道的广告解决方案，支持实时竞价(RTB)和原生广告。