挪威数据保护机构因微软旗下 Xandr 处理 Grindr 用户个人数据（包括有关性取向的敏感信息）的方式，对其处以约 850 万欧元罚款。Xandr Grindr 数据罚款之所以引人注目，是因为它针对的是广告链条上更靠后的一家公司，而不仅仅是最初收集数据的应用。
我们对这一裁决的摘要很简短，因此本文只聚焦已确认的内容，并向读者解释更广泛的背景。
挪威监管机构因何对 Xandr 罚款
根据报道，这笔约 850 万欧元的罚款与微软旗下的广告业务 Xandr 如何处理属于 Grindr 用户的个人数据有关。这些数据包括有关性取向的敏感信息。
这并非 Grindr 的数据做法第一次受到挪威的审视。该国数据保护机构此前曾因 Grindr 违反 GDPR 第 9 条而对其处以 6500 万挪威克朗（约 550 万欧元）罚款，该条款限制对特殊类别个人数据的处理。该罚款后来被博尔加廷上诉法院维持。此次针对 Xandr 的新行动，将关注点从该应用扩展到了一家在下游处理数据的公司。
敏感应用数据如何到达广告平台
大多数免费应用通过广告赚钱。为了展示相关广告，应用可能会将有关用户的信息传递给广告合作伙伴，例如设备标识符、大致位置或个人资料详情。这些合作伙伴可能包括广告交易平台和用于将广告与受众匹配的平台，而且往往在应用打开后的几毫秒内完成。
当涉及的信息属于敏感信息时，问题就出现了。根据 GDPR，揭示性取向的数据属于受保护类别。仅仅作为某些应用的用户，本身就可能揭示某些敏感信息。一旦这一信号进入广告技术流程，它就可能被复制、与其他标识符结合，并在多家公司之间传递，这使用户很难知道它最终去了哪里，也很难将其撤回。
这就是监管机构会审视整条链条的原因。接收或处理此类数据的公司会承担自己的法律责任，即使它不是最初收集数据的一方。
GDPR 执法对用户意味着什么
这笔罚款是一个信号，表明欧洲监管机构愿意在整个广告生态系统中追究公司责任，包括那些由大型科技集团拥有的公司。对用户而言，有几点实际启示。
- 特殊类别数据适用更严格的规则。 根据 GDPR，有关性取向、健康、宗教及类似主题的信息，通常在没有有效法律依据的情况下不得处理。
- 执法可能很慢。 早前的 Grindr 案件经历了罚款、上诉和法院裁决。监管行动并不能消除已经发生的暴露。
- 罚款并不等同于补救。 处罚惩罚的是一家公司，但个人仍需要在此后管理自己的暴露风险。
这一规模的公司还在其他场景中持有大量数据，而生态系统中其他位置发生的安全事件也提醒人们，集中保存的数据是攻击目标。例如，我们曾报道过一名青少年漏洞赏金猎人据称获得了微软内部 Titan 分析服务的管理员级访问权限，以及有关员工数据库从微软 Azure 基础设施中被窃取的说法。这些事项与 Xandr 裁决无关，但它们说明了为什么从一开始就限制你分享的内容很重要。
这对你意味着什么
你无法看到哪些广告合作伙伴从某个应用接收数据，因此最可靠的做法是减少该应用能够发送的数据。可以从这里开始：
- 检查应用权限。 查看手机上的位置、联系人、照片和跟踪权限。撤销应用并不明确需要的任何权限。
- 重置或禁用你的广告 ID。 Android 和 iOS 都允许你删除或重置广告标识符，或限制广告跟踪，这会使广告平台更难跨应用关联活动。
- 查看应用内隐私设置。 许多应用都包含个性化广告或与合作伙伴共享数据的开关。尽可能关闭这些选项。
- 谨慎对待敏感个人资料详情。 如果某个应用要求提供你不希望被分享的信息，可以考虑留空。
- 删除你不再使用的账户。 休眠账户仍可能保存数据。
VPN 适用于哪里
VPN 可以掩盖你的 IP 地址，并加密你的设备与 VPN 服务器之间的流量，这在公共 Wi-Fi 环境下以及限制互联网服务提供商能看到什么方面很有用。但它不能阻止应用将你已提供的数据（例如个人资料详情或广告 ID）发送给其合作伙伴。请把 VPN 视为一个部分层面的措施，而不是解决应用内数据共享问题的万能方案。
关键要点
Xandr Grindr 数据罚款表明，监管机构正在把目光从收集敏感信息的应用，扩展到处理这些信息的广告技术公司。对日常用户而言，最有效的措施仍在你的掌控之中：审查应用权限，重置或禁用广告 ID，调整应用内隐私设置，并且只在 VPN 擅长的方面使用它。本周花十分钟检查一下你手机上的应用，先从那些保存最多个人信息
