挪威資料保護局（Datatilsynet）於二零二六年十月十二日公布，向廣告科技公司 Xandr Inc.（前稱 AppNexus，現屬微軟廣告業務）開出九千二百萬挪威克朗（約八百五十萬歐元）行政罰，指其在即時競價廣告鏈中違法處理並轉傳挪威 Grindr 用戶個人資料，包括可推斷性傾向的特殊類別資料；當局強調這是該局歷來最高罰額。來源真實性已驗證：罰額、共同控管者認定、調查期與上訴期限以 Datatilsynet 官方新聞稿及公開版行政決定（二零二六年十月二日）為準，並以挪威消費者委員會（Forbrukerrådet）說明與挪威廣播公司（NRK）引述之微軟回應交叉核對。

對開發廣告／分析 SDK、投放平台與香港企業的跨境數據合規團隊而言，本案核心訊息是：取得或轉傳特殊類別資料時，不能把「同意是否有效」外包給上游 App；共同控管者必須自行核實並能舉證。本文整理已核對事實、技術機制、香港應用與評價。

挪威個資局／官方：微軟旗下 Xandr 遭九千二百萬克朗（約八百五十萬歐元）紀錄罰——Grindr 用戶敏感資料經即時競價違法轉傳；共同控管者須自證同意有效

一、核心事件：紀錄罰針對 RTB 鏈上的 Xandr

技術細節

Datatilsynet 新聞稿指，Xandr 作為中介，把挪威 Grindr 用戶的個人資料——包括與性傾向相關的資訊——轉傳給廣告生態中潛在數以千計的參與者。局長 Line Coll 表示，違規「非常嚴重」，數千名挪威用戶的敏感資料遭違法分享，故開出高額罰則；九千二百萬克朗為該局有史以來最高行政罰。

決定書（公開刪減版）載明：罰則針對違反《一般資料保護規則》（GDPR）第 6(1) 條（欠缺處理法律基礎）及第 9(1) 條（處理性傾向等特殊類別資料卻無有效例外）。調查期為二零一八年七月二十日至二零二零年四月七日——即挪威適用 GDPR 起，至 Xandr 就挪威用戶部署新同意管理平台前。違規持續近兩年，被列為加重量刑因素。

公司沿革方面：AppNexus 於二零一八年八月由 AT&T 收購，二零一九年七月一日更名 Xandr；微軟於二零二二年六月六日收購 Xandr。罰額按 Xandr 自身全球年營業額計算，未採用微軟合併營業額，因涉案期間 Xandr 尚未屬微軟。約合歐元八百五十萬，落在歐盟資料保護委員會（EDPB）指引所述「高度嚴重」靜態區間（約四百萬至二千萬歐元）內。Xandr 自收到決定起有三週上訴期。

Forbrukerrådet 與隱私組織 noyb 於二零二零年就 Grindr 及包括當時 AppNexus／Xandr 在內的多家廣告科技公司向 Datatilsynet 投訴。當局早前已對 Grindr 本身開罰約六千五百萬克朗（約六百萬歐元），並經上訴法院維持；本案是同一調查線上對廣告中介的後續裁決。NRK 引述微軟發言人稱，用戶隱私為最高優先，調查與決定涉及微軟收購 Xandr 之前的行為，自那時起法規詮釋與實務已演進，公司正審視決定並評估可行選項。

二、技術原理深度解析

本案技術場景是數位廣告的 即時競價（real-time bidding, RTB）：當用戶開啟 App 或網頁，供應端平台（SSP）與需求端平台（DSP）在毫秒級把廣告位連同用戶側訊號（廣告識別碼、IP、情境標籤等）廣播給眾多買家競價。Datatilsynet 認定 Xandr 在該流程中同時扮演供應端與需求端角色，並與 Grindr 同屬 共同控管者（joint controller）——亦即對處理目的與手段有決定權，而非單純「聽令行事」的處理者。

關鍵法律技術點有三。第一，「使用 Grindr」本身即可構成性傾向相關資料：該 App 面向男同志、雙性戀、跨性別與酷兒族群；當局與先前針對 Grindr 的判決均認此屬 GDPR 第 9 條特殊類別資料，原則禁止處理，除非具備第 9(2)(a) 條等例外——通常需要 明示同意（explicit consent）。第二，同意不可外包：Xandr 辯稱依賴 Grindr 已取得同意，但當局指其未驗證同意是否有效、亦未確保自身處理有獨立法律基礎；共同控管者各自須符合問責原則。第三，資料一旦進入競價廣播，控制權實質流失：新聞稿強調廣告生態對個人「難以透視」——用戶甚至不知 Xandr 存在，卻可能在開啟 App 的瞬間被標籤並傳給大量下游。

對工程團隊，RTB 鏈常見風險模式是：SDK／中介預設「為投放最佳化而分享盡可能多的訊號」、同意字串（如 TCF）被假設為覆蓋下游所有處理、日誌與資料保留政策在調查期間難以還原完整傳輸圖譜。決定書亦提及調查範圍因保留政策等因素而聚焦合法性判斷；這提醒企業：若無法舉證「何種識別符、在何時、傳給何人」，合規抗辯會先天弱勢。

四、日常應用場景

1. 開發者與技術團隊

嵌入廣告、歸因或人群畫像 SDK 時，應把「特殊類別／高敏感情境」列為預設關閉的分享類別，並在合約與技術控制上區分：何者僅作處理者、何者因決定投放邏輯而升格為共同控管者。日誌需保留同意版本、適用目的與下游接收方清單，且保留期須足以應付監管查詢。若產品服務歐洲用戶，不能假設「上游說已同意」即可轉傳廣告 ID 與情境標籤。

2. 企業與隱私敏感行業

行銷科技（MarTech）、零售媒體網路、開放網絡投放與跨境 App 發行商，應把 RTB／數據管理平台（DMP）供應商盡職審查寫進採購：法律基礎文件、特殊類別資料禁傳條款、刪除與稽核權利、事件通報時限。董事會層亦應留意：罰額可按涉案法律實體營業額計算，收購前後責任切分不會自動消滅歷史違規的監管後果——本案微軟強調時點切割，但品牌與整合風險仍在。

3. 一般用戶

一般用戶難以在 App 權限畫面「看穿」整條廣告競價鏈。實務上可減少不必要的廣告追蹤授權、檢視系統的「允許 App 追蹤」設定，並對標榜小眾／敏感社群的服務特別留意隱私政策是否清楚說明資料會否進入即時競價。本案亦說明：監管可同時追究 App 與中介，而非只罰面向消費者的品牌。

4. 香港與亞洲市場視角

香港雖非 GDPR 成員，但《個人資料（私隱）條例》與私隱專員公署指引同樣強調收集目的、通知與保障措施；服務歐盟／歐洲經濟區用戶的本地初創、遊戲與金融 App，仍直接受 GDPR 域外效力約束。亞洲廣告科技與零售媒體快速成長之際，若把「性傾向、健康、宗教」等敏感推論標籤用於人群包或跨 App 追蹤，一旦進入類似 RTB 廣播，歐洲罰則可成為董事會真實成本。與中東、東盟市場的數據出境與同意管理亦應分開建模，避免一套全球 SDK 預設開啟最大分享。

香港企業若同時營運面向歐洲用戶的產品與本地業務，宜把廣告／分析供應鏈的資料流圖（data-flow map）納入年度私隱影響評估，並在雲端與零信任架構上限制行銷子網能觸達的識別符範圍——這與基礎設施加固同一邏輯：縮小爆破半徑。可參考 YSK Limited 的雲端遷移與網絡安全服務（https://ysk.hk/services/cloud-security；官網刊 99.99% SLA），把身分、網段與日誌管線一併收斂；若需在境內跑私有模型做合規分類或日誌脱敏，亦可搭配本機閘道 YSK Omni v1.0.4（https://ysk.hk/products/ysk-omni）降低原始個資出境需求。

五、專業評價與潛在考量

優勢（監管訊號）

• 把「共同控管者」與「同意不可外包」寫進高額罰則，對整條 adtech 供應鏈具嚇阻作用。
• 罰額按涉案實體自身營業額計算，避免機械式把收購方全球營收當作唯一計算基數，同時仍開出該局紀錄罰，顯示嚴重性評估與營業額基數可分開處理。
• 與先前 Grindr 罰則形成「App + 中介」雙線執法，回應消費者「看不見下游」的結構性問題。

需要留意的地方

• 調查期止於二零二零年四月，距公布逾數年；業界同意框架、Consent Manager 與平台政策已變，讀者應以現行實務對照，而非假設今日 Xandr／微軟廣告堆疊仍完全等同當年。
• 決定仍可上訴；最終金額與法律定性或以上訴結果為準。
• 公開版刪減了部分營業額與技術細節，外間難以還原完整競價圖譜；企業內部盡職審查仍須依賴合約稽核權與技術日誌，而非只讀新聞稿。
• Engadget 等英文媒體以約九百六十萬美元表述罰額，屬匯率換算近似值；官方針對公眾的歐元換算約為八百五十萬歐元（九千二百萬克朗），寫作與合規引用應優先官方數字。

結語

挪威個資局以紀錄級罰則，向即時競價鏈上的廣告中介重申：特殊類別資料與共同控管責任不能靠「以為上游已同意」來卸責。對香港與亞洲團隊，與其事後翻譯罰單，不如在 SDK 預設、供應商合約與網段隔離上先做最小必要分享。若貴司正在收斂跨境投放與雲端邊界，可從 https://ysk.hk/services/cloud-security 了解加固與遷移選項；產品脚手架與本機模型閘道亦可分別參考 YSK Kit v1.5.0 與 YSK Omni v1.0.4。

參考來源

• Datatilsynet（挪威資料保護局）官方新聞：https://www.datatilsynet.no/aktuelt/aktuelle-nyheter-2026/datatilsynet-gir-microsoft-selskap-92-millioner-i-bot/
• Datatilsynet 行政決定公開版 PDF（Administrative fine – Unlawful processing of personal data，2026-10-02）：https://storage02.forbrukerradet.no/media/2026/10/administrative-fine-unlawful-processing-of-personal-data-redacted-public-version.pdf
• Forbrukerrådet（挪威消費者委員會）說明：https://www.forbrukerradet.no/side/microsoft-company-fined-85-million-euros-following-complaint-by-the-norwegian-consumer-council-and-noyb/
• NRK 報道（含微軟回應）：https://www.nrk.no/nyheter/datatilsynet-gir-microsoft-selskap-rekordbot-1.18052159
• Engadget 英文報道（發現用）：https://www.engadget.com/2284434/norway-fined-a-microsoft-subsidiary-96-million-for-allegedly-misusing-grindr-user-data/