ARTICLE · 1213068
用户打开APP的那一瞬,敏感数据可能已进入广告竞价链条 --- 微软旗下 Xandr 被罚 9200 万挪威克朗 (Part 1: 事件和技术篇)
在看到开屏广告之前，数据已经跑完了几千次握手, 而用户对此一无所知 ——从 Grindr 案看 RTB 广告技术、敏感个人信息与共同控制者责任。
2026 年 10 月，挪威数据保护监管机构对微软旗下广告技术公司 Xandr 作出9200 万挪威克朗的罚款决定，理由是其在实时竞价广告业务中处理 Grindr 用户个人数据，缺乏合法依据，并违法处理了涉及性取向的特殊类别个人数据。[1][3]
本案真正值得关注的，并不只是罚款金额，而是两个问题：
第一，数据字段没有直接写明用户的性取向，为什么仍可能构成敏感数据处理？
第二，广告技术公司认为上游 App 已经取得用户同意，为什么仍然可能承担自己的合规责任？
这两个问题，值得所有依赖程序化广告、用户画像和第三方数据服务的企业认真研究。
本文看点
01
9200 万罚单背后：谁被罚、因为什么
02
RTB 实时竞价：开屏前的几千次握手
03
没写性取向，为何仍算敏感数据
01
CASE
一、案件背景：谁罚了谁、因为什么
2026年10月12日，挪威DPA对微软旗下广告技术公司 Xandr（前身AppNexus）处以9200万挪威克朗（约6400余万元人民币）罚款，这是该机构史上最高罚单。
被罚主体：Xandr，这是一家广告技术公司，是本案的RTB广告生态中扮演的中间交易层+DSP需求方双重角色。[3]
关联被罚主体：Grindr（较早前已被挪威DPA处以6500万挪威克朗罚款），Grindr是面向男同性恋、双性恋、跨性别者与酷儿（Queer，泛指性取向或性别认同不完全落入传统男女二元框架的群体）的约会App，作为媒体，Grindr App里有广告位要变现。[3]
核心事实：Xandr在Grindr用户打开App的瞬间，通过实时竞价机制，将包含“正在使用Grindr”这一事实的设备信号转发给广告生态内可能多达数千家第三方公司，用于个性化广告竞价；挪威DPA认定该处理缺乏GDPR下的合法基础，性取向类敏感数据被间接披露。
用户可能认为：开屏广告是媒体平台帮我挑的。
挪威监管揭开背后的数据握手：并非如此，用户打开App的那一瞬，其个人数据先被几千家公司看了一眼，广告才来。
02
MECHANISM
二、RTB是什么，和“传统买广告位”有什么区别
Xandr 不是传统意义上「买广告位、卖广告位」的公司。它的生意是程序化广告中间层，其广告生态简称RTB。
RTB（Real-Time Bidding，实时竞价）：用户每打开一次带广告的网页或App，这条曝光机会就被拿出来拍卖，多家广告主在几十到一百毫秒内出价，价高者获得展示。
RTB 的模式里涉及几个角色，先把定义对齐：
SSP（Supply-Side Platform，供给方平台）
为媒体（比如本案中的Grindr）这边，管理广告库存、设底价
ADX（Ad Exchange，广告交易所）
撮合层，把竞价请求广播给到广告需求方并判定谁是竞得的赢家
Bid Request (竞价请求）
每次拍卖前发出的数据包
DSP（Demand-Side Platform，需求方平台）
站在广告主这边，收到竞价请求后决定是否出价、出多少价
DMP（Data Management Platform，数据管理平台）
存人群包（比如二胎妈妈人群、做设备ID匹配）
CMP（Consent Management Platform，同意管理平台）
管理用户授权记录
RTB vs 传统买广告位有什么不同
一次RTB的数据流（以Grindr为例）
用户打开Grindr的免费版本
App内广告SDK发起请求
SSP/中介层组Bid Request（竞价请求）
ADX广播给多家DSP
各家DSP用设备ID碰人群包、算价格、回复出价
ADX取最高
胜出方素材下发
媒体一方开屏展示
用户看到广告
需要强调：这是一种便于理解的简化示意，并非每次广告请求都必然经过完全相同的路径，也不能据此认定每次请求均向数千家企业发送了全部数据。
举个通俗例子（假设场景）
假设马匆匆是一名女性同性恋用户，马女士在挪威打开Grindr免费版本，设备号ABCD
这一瞬，App侧生成Bid Request，带出 app=grindr、设备号、IP城市
请求进Xandr交易层 → 广播给上千家DSP
某“三分钟HIV病毒快检”广告主命中了LGBTQ场景，出价最高
RTB整个过程在~100毫秒内完成，马女士的手机APP页面弹出开屏广告“三分钟快检，让你和你的crush心无旁骛” (针对病毒快检场景现编的广告词，如有雷同，纯属巧合)
马女士一看，这开屏广告确实踩到了她在约会场景的痛点，于是她点开进一步查看广告落地页
与此同时，平台完成抽成、广告主被扣费，马女士的“Grindr用户=LGBTQ”标签同时被竞价失败的几千家DSP所看到，但马女士对这一切并不知情。
还是这个例子，我们假设另外一种可能，app=grindr这字段没有被传输出去——只共享了“交友类App开屏+城市名+女性设备”：
出价模型匹配不到性取向场景
竞价胜出的可能是某眼霜品牌
马女士一看15毫升眼霜2000元，于是她有点生闷气的关掉开屏，广告主的广告费打水漂，这是一次“不算成功”的RTB
马女士的敏感个人信息没有被不当传输
从上面举例可以看到，RTB模式要想获得足够的盈利，前提是每一个广告请求里都带有足够多的用户个人数据，否则DSP没法精准判断“这条曝光值多少钱“。某些个人信息对于完成RTB并非竞价必须，但对服务盈利很重要。所以 Xandr 的商业模式核心是个人数据，把「用户画像碎片」塞进 bid request，让越多买家看到、竞价越精准，平台抽成越高。
03
WHY
三、为什么竞价请求中仅包含APP名称，会被DPA判定涉及性取向数据处理且缺乏合法基础
在本案中，竞价请求中的 App 名称或 App 标识符，与可识别用户的广告标识符、IP 地址等信息相结合，能够揭示该用户正在使用 Grindr。监管机构据此认定，相关信息属于涉及性取向的特殊类别个人数据。[3]
所以“这个人正在打开Grindr”本身就是性取向信号，已经不需要明文写sexual_orientation=gay。
这类风险并不局限于约会 App。例如，在具体情境下：
情形一
使用某些健康类服务的信息，可能揭示健康状况；
情形二
对特定宗教场所的活动记录，可能揭示宗教信仰；
情形三
使用特定社群服务的信息，可能揭示性取向或其他敏感属性。
推理链是：
Xandr 转发/接收了“使用 Grindr”的事实 + 设备ID + IP
这组合可揭示性取向 → 属 GDPR Art.9 规定的特殊类别
Art.9 对此类特殊类别数据的处理默认禁止
例外只能是明示同意
Xandr 没取证、也没验证 Grindr 的用户明示同意 → Xandr缺乏合法基础
SOURCES
[1] 挪威数据保护监管机构（Datatilsynet），2026 年 10 月 12 日新闻稿
Microsoft company fined NOK 92 million
https://www.datatilsynet.no/en/news/news-2026/microsoft-company-fined-nok-92-million-for-unlawfully-sharing-personal-data/
用于核实罚款金额、案件背景、监管机构对 RTB 数据流转及责任问题的概述。
[2] 欧洲数据保护委员会（EDPB），2026 年 10 月 16 日案件摘要
Norwegian DPA fines Xandr EUR 8 600 000 for unlawful processing of personal data
https://www.edpb.europa.eu/news/norwegian-dpa-fines-xandr-eur-8-600-000-for-unlawful-processing-of-personal-data_en
用于核实决定日期、GDPR 第 6 条和第 9 条的适用、共同控制者认定及同意有效性问题。
[3] 挪威数据保护监管机构（Datatilsynet），2026 年 10 月 2 日处罚决定书
Administrative fine – Unlawful processing of personal data, Case No. 20/03541-37.
https://www.datatilsynet.no/contentassets/213ea490834f4fc2a796aa495cb72fb8/administrative-fine---unlawful-processing-of-personal-data_redacted-public-version.pdf
本文关于事实认定、RTB 数据处理流程、Xandr 的 SSP/DSP 角色、个人数据与特殊类别数据、共同控制者及问责原则的主要依据。特别参见决定书第 6.2–6.9 节。
[4]《通用数据保护条例》（GDPR），Regulation (EU) 2016/679
https://eur-lex.europa.eu/eli/reg/2016/679/oj
重点条文：第 4 条（定义）、第 5 条第 2 款（问责原则）、第 6 条（处理的合法性）、第 9 条（特殊类别个人数据）、第 24 条（控制者责任）及第 26 条（共同控制者）。
[5]《中华人民共和国个人信息保护法》
https://www.gov.cn/xinwen/2021-08/20/content_5632486.htm
重点条文：第 28 条（敏感个人信息的定义）及第 29 条（处理敏感个人信息的单独同意要求）。
我是马匆匆，专注于数据合规与隐私保护的实务观察。
如果你觉得今天这篇有收获，欢迎点赞、在看、转发三连，我们下篇见。
