860萬歐元罰單揭露：打開 App 的那一瞬間，你的個資已經參加了數千家企業的競價

10 月 13 日，挪威資料保護局對微軟旗下的廣告科技公司 Xandr 開出一張 9,200 萬挪威克朗的行政罰單，折合約 860 萬歐元，是這個機關成立以來金額最高的裁罰。裁罰的原因，跟你的手機有關，也跟你的健康有關。

事情的起點是一款叫 Grindr 的交友軟體，主要使用者是男同性戀、雙性戀、跨性別與酷兒族羣。挪威資料保護局認定，Xandr 在 2018 年 7 月到 2020 年 4 月將近兩年的時間裡，把挪威 Grindr 用戶的個人資料，包括能夠反映性取向的資訊，轉發給多達數千家其他企業。在許多地方，光是「正在使用這款 App」這件事本身，就足以讓別人推測你的性取向，所以這類資料受到特殊等級的保護。

這張罰單裡，值得你注意的細節

Xandr 的角色，是廣告技術鏈裡的中間商，在所謂的即時競價流程中同時站在買方與賣方兩端。每當用戶打開 Grindr，個人資料大多會經過 Xandr，再流進廣告生態裡的數千個參與者手中，廣告商彼此出價，爭取向這個用戶投放定向廣告的機會。

Xandr 的抗辯是：取得用戶授權是 Grindr 的責任。挪威資料保護局沒有採納這個說法，認定兩家公司屬於共同資料控制者。局長莉娜·科爾（Line Coll）對此說得很直白，值得完整讀一次。

這起案件可以往前追溯到 2020 年，挪威消費者委員會向資料保護局投訴了當時還叫 AppNexus 的這家公司。2021 年，Grindr 也曾因同類違規被罰 6,500 萬克朗，博爾加廷上訴法院當時並裁定，使用 Grindr 本身就屬於能表明性取向的資訊。也就是說，這已經不是第一次有企業在同一條路上被攔下來。

罰款金額還有一個計算細節：以 Xandr 自己的全年營業額為基準，因為違規期間它還不是微軟旗下公司。違規持續近兩年被列為加重情節，而這家公司從非法共享個資的行為中直接獲取收益，也是核定金額時的重要考量。

即時競價是什麼？為什麼你從來沒感覺

簡單說，這是廣告行業的自動交易機制。帶有廣告版的網站或 App，會把訪客和用戶的個人資料分享給廣告平臺，不同廣告商透過出價競爭向你展示廣告的機會，整個過程全自動，短短一瞬間就結束。

你在螢幕上看到的，只是一則廣告。你沒有看到的是，那一瞬間裡跟你有關的資料被廣播給多少平臺、被誰接觸過、之後流向哪裡。局長科爾對此的形容是：個人資料一旦外洩，就很難追蹤去向與使用方式，這類私密資訊還能跟其他資料結合，勾勒出一份極其詳細的個人生活畫像。

這則科技新聞，跟你的健康有什麼關係

先從位置說起。你的手機知道你去過哪些地方：藥局、診所、心理諮商所、婦產科、篩檢站。這些位置紀錄單獨看也許沒什麼，組合起來，就是一份你從來沒同意公開的健康檔案。而即時競價共享的資料裡，位置與裝置資訊正是常見項目。

身分資訊是另一層。對已經向親友公開性取向的人，這件事的壓力也許小一些；對還沒出櫃、或生活在對同志不友善環境裡的人，性取向資訊被數千家企業掌握，意味著被騷擾、被勒索、被強行公開的風險確實存在。這類持續的壓力，會反映在睡眠、食慾與情緒上。

還有一層是控制感。先前我們在穿戴裝置健康數據的判讀與授權管理的討論裡提過同樣的原則：當資料流向不透明時，你能做的第一件事，是回頭檢查自己授權出去的範圍。這一步不需要任何技術背景，今天就能開始。

今天就能做的五個手機隱私檢查

關閉廣告追蹤與個人化。iPhone 到「設定」「隱私權與安全性」「追蹤」，關閉「允許 App 要求追蹤」；Android 到 Google 帳號的廣告設定，關閉「廣告個人化」。廣告不會因此消失，只是餵給競價系統的資料會少一些。

重新盤點定位權限。打開手機的位置權限清單逐一檢查：不需要精確位置的 App，改成「概略位置」；只有找路、叫車才需要定位的，改成「僅使用期間允許」。交友軟體若有「僅顯示概略距離」的選項，也值得打開。

下載前先看隱私標籤。App Store 的「App 隱私權」區塊、Google Play 的「資料安全」頁面，會列出 App 收集哪些資料、是否與第三方共享。花三十秒看過再按下載，成本很低。

敏感類 App 少綁真實身分。交友、心理支持、慢性病追蹤類的 App，能不用真實全名就不用，能另外開一個次要 Email 就另外開。你給出去的資料越少，萬一外洩時的傷害範圍就越小。

定期刪除不再使用的 App 與帳號。許多資料共享的授權會一直有效，直到你主動刪除帳號為止。趁換機或整理手機時順手清一次，比想像中省事。

隱私設定有點像健康檢查，不是做一次就永遠有效。系統更新、App 改版，都可能讓選項搬家或悄悄重新開啟。也像先前在微軟決策 AI 上線的新聞裡提醒過的，再方便的預設值都是廠商替你做的選擇，最後一關的判斷值得留給自己。

約會類 App 的使用原則

資料保護之外，人身安全也順便說。跟網友見面，第一次約在公開場所，並讓一位朋友知道你的行程；定位功能夠用就好，不需要時可以關閉；如果對方在訊息裡施壓、威脅或索要私密照片，這是明確的警訊，停止往來並保留紀錄。

什麼時候該求助

如果你懷疑自己的敏感資訊被用來騷擾、跟蹤或勒索，先把對話截圖、帳號名稱與時間儲存下來。臺灣有跟蹤騷擾防制法可以處理這類行為，報警或撥 110 是合理的第一步；涉及詐騙則可撥 165 反詐騙專線。

如果個資外洩的疑慮讓你連續好幾個星期睡不好、反覆焦慮、情緒明顯低落，這時候找身心科或心理諮商並不小題大作。1925 安心專線提供心理支持；如果你或身邊的朋友因為性取向身分承受壓力，臺灣同志諮詢熱線協會也有同伴支持與諮詢資源可以運用。

至於個資侵害本身，在臺灣可以依個人資料保護法的管道，向企業或主管機關反映申訴，不必自己默默吸收。

罰單之外，留給你的一句話

挪威這張罰單最重要的訊息，監管機關已經講清楚了：資料保護的責任沒有辦法轉嫁給別人，企業之間互相推卸，用戶的權利就形同虛設。對你來說，同一件事可以換個方向看：隱私的預設值是別人決定的，但設定就住在你的手機裡，你隨時可以打開來調整。今晚睡前花五分鐘，從關閉廣告追蹤那一項開始就好。