微軟子公司 Xandr 涉嫌濫用 Grindr 用戶數據 被挪威罰款 960 萬美元

微軟子公司涉數據違規被重罰

根據10月12日嘅報導，挪威數據保護局（Norwegian Data Protection Authority, NDPA）對微軟公司（Microsoft, 股票代號：MSFT）旗下嘅廣告技術子公司 Xandr 處以 9,200 萬挪威克朗（約 960 萬美元）嘅罰款。今次罰款係因為 Xandr 涉嫌喺冇獲得用戶「明確同意」嘅情況下，將社交應用程式 Grindr 嘅敏感用戶數據用於廣告目的。

呢個數字係 NDPA 成立以來開出過最高嘅罰單，顯示出北歐國家對於個人私隱保護，特別係涉及敏感個人資料時嘅嚴格態度。

事件詳細經過與爭議焦點

數據傳輸機制

NDPA 喺新聞稿入面指出，當用戶打開 Grindr 應用程式時，佢哋嘅個人數據喺好多情況下會透過 Xandr 傳送畀廣告生態系統入面成千上萬個參與者。呢個過程完全喺用戶視線之外，令廣告商可以針對特定用戶進行競價，從而投放精準廣告。

法律爭議點：明確同意

今次案件嘅核心在於「同意」嘅定義。Xandr 當時採取嘅做法係假設 Grindr 已經幫手攞咗用戶嘅同意，所以 Xandr 認為自己可以使用呢啲數據。但 NDPA 認為，處理敏感個人資料必須要有「明確同意」（explicit consent），單純依賴第三方應用程式嘅概括性同意係唔符合法例要求嘅。

案件時間線

呢單官司其實由 2020 年開始，當時挪威嘅消費者委員會向 NDPA 遞交投訴。值得留意嘅係，Xandr 喺投訴發生嘅初期並唔係由微軟擁有。NDPA 喺計算罰金時，考慮到數據違規行為發生喺 2018 年 7 月至 2020 年 4 月期間，並根據 Xandr 嘅年度總營業額來釐定罰款金額。由於 NDPA 認為今次數據濫用情況「非常嚴重」，因此決定處以高額罰款。

數據隱私風險分析

對於一般用戶嚟講，呢類廣告技術（AdTech）嘅運作方式往往係透明度極低。用戶以為只係喺一個 App 入面登記資料，但實際上資料可能會經過多個中間商（如 Xandr）傳遞畀唔同嘅廣告公司。特別係好似 Grindr 呢類涉及性傾向、地理位置等高度敏感資訊嘅平台，一旦流出或被濫用，對用戶嘅影響會比一般電商數據洩漏大得多。

相關個案對比

唔單止 Xandr，Grindr 本身亦都多次陷入數據爭議。以下係部分相關事件整理：

總結

今次微軟子公司 Xandr 被挪威政府重罰，再次提醒科技公司喺處理大數據同廣告投放時，唔可以將「第三方同意」視為免死金牌。對於消費者嚟講，選擇應用程式時應該更仔細閱讀私隱協議，意識到個人敏感資料喺廣告生態鏈入面嘅流轉風險。Xandr 目前有三星期時間決定是否對呢項紀錄性罰單提出上訴。