主要变化
- 挪威数据保护局因 Xandr Inc. 违反 GDPR 第 6(1) 条和第 9(1) 条，向其开出 8,600,000 欧元的行政罚单。
- 该机构裁定 Xandr 作为共同数据控制者，不能依赖 Grindr 获取的无效第三方同意。
- 挪威数据保护局确立了共同控制者必须独立核实同意是否有效并涵盖其自身处理活动的原则。
挪威数据保护局（Datatilsynet）因广告技术公司 Xandr Inc.（前身为 AppNexus，现隶属于 Microsoft）在缺乏《通用数据保护条例》（GDPR）规定的合法依据的情况下处理个人数据，对其处以 8,600,000 欧元（9200 万挪威克朗）的行政罚款。该裁决日期为 2026 年 10 月 2 日，源于挪威消费者委员会于 2020 年针对 Grindr 相关的实时竞价活动提出的投诉。Grindr 是一款面向同性恋、双性恋、跨性别者及酷儿群体的基于位置的社交应用。
该机构根据明确的优势证据认定，Xandr 在实时竞价拍卖期间处理了 Grindr 用户的 IP 地址、广告 ID 以及个人正在使用该应用的事实。挪威数据保护局将此类信息归类为 GDPR 第 4(1) 条规定的个人数据，以及 GDPR 第 9(1) 条规定的涉及性取向的数据。
Xandr 业务横跨供应方平台和需求方平台，被认定为相关处理活动的共同控制者。由于相关操作涉及特殊类别的个人数据，因此需要根据 GDPR 第 9(2)(a) 条获得明确同意。Xandr 未直接收集同意，而是依赖 Grindr 获取的同意，挪威数据保护局根据 GDPR 第 4(11) 条和第 7 条认定该同意无效。挪威数据保护局强调，在 GDPR 框架下问责制不可外包，裁定每个共同控制者都必须独立核实同意的有效性及其是否涵盖其具体的处理操作。
挪威数据保护局认定违法行为至少属于过失，且涉及保护敏感数据的核心 GDPR 条款，因此将该违规行为归类为极其严重。该裁决为在欧洲经济区运营的广告技术提供商和广告交易所关于第三方同意依赖的问题确立了重大的执法先例。
受影响对象
广告技术公司、广告交易所、需求方及供应方平台、移动应用开发者以及挪威的 Grindr 用户。
跨境背景
在整个欧洲经济区（EEA）范围内适用关于实时竞价、共同控制者责任以及跨国广告技术同意链的 GDPR 标准。
后续关注事项
- 核实 Xandr Inc. 或 Microsoft 是否就挪威数据保护局的裁决提起上诉。
- 关注欧洲数据保护委员会（EDPB）关于程序化广告中共同控制者义务的进一步指南或声明。
本文仅提供一般性信息，不构成法律意见。必要时请查阅官方文本并根据您的具体情况寻求专业建议。