挪威数据保护局（NDPA）近日对微软旗下广告技术子公司 Xandr 开出罚单，金额高达 9200 万挪威克朗（约合 960 万美元）。这是该机构迄今为止开出的最高额罚款。Xandr 被指控在未获得用户“明确同意”的情况下，利用 Grindr 用户的敏感数据进行广告投放。
根据 NDPA 发布的新闻稿，当用户打开 Grindr 应用时，其个人数据往往通过 Xandr 流入广告生态系统，并被传递给数千个参与者。这使得广告商能够在完全对用户隐藏的情况下进行竞价，并展示针对性广告。
该案追溯至 2020 年，当时尚未被微软收购的 Xandr 遭到挪威消费者委员会向 NDPA 投诉。投诉指出，Xandr 在未经事先同意的情况下，出于商业目的非法共享用户个人数据。NDPA 认定此行为属于“非常严重”的数据滥用，因此处以高额罚款。违规时间跨度为 2018 年 7 月至 2020 年 4 月，罚款数额依据 Xandr 的年总营业额计算。目前，Xandr 拥有三个星期的上诉期。
值得注意的是，Grindr 本身也因不当共享敏感用户数据而卷入多起监管案件。此前，同一挪威监管机构曾以类似理由对该约会应用处以超过 560 万欧元的罚款。此外，Grindr 于 2024 年在伦敦面临诉讼，涉嫌共享包括用户 HIV 状况及检测日期在内的敏感信息。
