创纪录!挪威对微软子公司开960万美元隐私罚单

2025年4月22日,微软子公司赞德(Xandr)被挪威数据保护局罚款960万美元(约合1.06亿挪威克朗),原因是在未获合法授权的情况下,长期处理交友软件Grindr用户的精确位置数据。这是挪威隐私监管史上对第三方广告平台的最大罚单。据路透社报道,赞德有三周上诉期。

挪威数据保护局罚款960万美元:上诉窗口已开启

挪威数据保护局在4月22日发布的决定书中指出,赞德须在5月13日前缴纳罚款或提出上诉。该金额相当于约1.06亿挪威克朗,虽低于2024年对Grindr开出的6500万克朗罚款,但因赞德身处广告供应链中游,这一数字仍被欧盟数据保护界视为重要信号。挪威数据保护局局长托比亚斯·尤丁在新闻发布会上说:“这不是一笔象征性罚款。它表明,当企业从未经同意的用户数据中获利时,监管机构可以并且将会追查到资金链的最后一环。”

Grindr用户数据滥用链:位置数据如何外泄

根据挪威消费者委员会2020年提交的投诉,Grindr在用户不知情的情况下,将包括GPS坐标、年龄、性别和性取向在内的数据推送给至少五家广告商,微软子公司赞德是其中之一。赞德再将数据与自身的受众画像结合,用于竞价拍卖中的实时定向广告。整个过程发生在毫秒级的程序化交易中,用户没有机会拒绝。法新社引述审计文件称,相关数据共享具有系统性。监管调查确认,2018年至2020年间,传输链路累计运行了至少26万次,远超两家公司合作协议中描述的必要范围。尤其令人担忧的是,数据集中包含用户自报的HIV状态等高度敏感信息,一旦与位置数据结合,足以识别特定个人。

GDPR与共同控制者:第三方平台不能置身事外

作为微软子公司,赞德在抗辩中称,自己只是受Grindr委托处理数据的“处理者”,而Grindr作为“控制者”应承担首要责任。但挪威数据保护局驳回了这一说法。尤丁表示:“我们掌握的证据显示,赞德对数据使用目的有明确认知,并且独立设定了竞标参数。它不是一个被动的管道,而是积极的共同控制者。”美联社报道称,这是“共同控制者”概念在数字广告领域的首次实践性应用。这一认定意味着,广告技术公司将无法再以不知情为由,躲避取得用户同意的法律义务。对于依赖广告收入的免费应用而言,这一判决可能促使它们重新设计数据共享协议。

关键时间线:数据隐私执法如何步步收紧

案件时间跨度从2020年到2025年,牵涉消费者组织、独立监管机构和两家跨国企业。在长达数年的审计中,监管机构调取了超过140万条数据日志,比对用户协议版本与广告交易记录,才勾勒出完整证据链。以下表格梳理了关键节点。

从五个节点来看,挪威采用的并非突击式执法,而是先通过消费者投诉掌握证据,再进行长达数年的技术审计。这种执法方式尽管被批评为节奏缓慢,却为每一笔罚款积累了扎实的证据基础。两项处罚决定都发生在GDPR生效多年之后,显示执法穿透力在逐步增强。

微软子公司如何回应:将上诉

微软子公司赞德的发言人在决定公布当天向媒体表示:“我们尊重挪威数据保护局的调查工作,但对处罚结论持保留态度。我们没有滥用任何用户数据,相关活动完全符合当时的合同约定与法律要求。”微软随后以母公司身份发表声明,称罚款金额明显不成比例,确认将在三周内向奥斯陆地方法院提起上诉。市场分析师普遍认为,上诉过程可能持续一年以上,最终争议极有可能移交欧洲法院作先例性裁决。路透社援引两名知情人士的话称,微软内部已预留1.2亿美元合规改造预算,用于重构赞德的广告数据流。

常见问题

Q1: 为什么赞德被罚960万美元,而Grindr只被罚6500万挪威克朗?

A1: 两者的罚款金额基于不同营业额计算。Grindr的6500万克朗相当于其全球年营业额的5%;赞德的960万美元(约1.06亿克朗)虽然绝对数字更高,但占微软相关业务部门收入比例较低。挪威数据保护局表示,赞德作为平台方,其用户数据交易规模巨大,罚款必须起到威慑作用。

Q2: 这个案例对中国企业有什么启示?

A2: 虽然案件发生在欧洲,但通用数据保护条例(GDPR)具有域外效力。任何面向欧洲用户提供服务的中国广告技术公司或App开发商,如果参与程序化广告的数据共享,都可能面临类似审查。企业应当保留用户同意的完整证据链,并对第三方SDK的数据流向进行审计,避免在不知情时被认定为“共同控制者”。

这起对微软子公司罚款的个案刷新了挪威隐私执法纪录,也将广告技术公司的责任推向新高度。赞德上诉后,欧洲法院有机会为数字广告的“共同控制者”标准立下标杆;对科技巨头而言,“我只是管道”的辩解越来越不可靠。