GDPR"特殊类别数据"规则:为什么它会影响一个在欧洲没有办公室的成人分类广告网站

这笔罚款与黑客攻击无关

2021年12月,挪威数据保护机构对Grindr LLC处以6500万克朗的罚款。没有人入侵Grindr的服务器,也没有数据库泄露。这家公司做的事情,是大多数拥有登录系统和广告预算的网站想都不想就会做的事:它与广告合作伙伴共享标识符,以便投放定向广告并衡量效果。这与成千上万普通网站背后的Meta Pixel或谷歌广告转化标签,是完全相同的机制。

Grindr的辩护理由是,这一切并没有真正泄露任何人的性取向。用户可以选择昵称、跳过照片,不分享任何关于自己身份的明确信息。监管机构没有接受这一说法。它认定,已知使用一款围绕特定性少数群体构建的应用,本身就"强烈表明,并且在大多数情况下似乎准确反映了"该用户属于那个群体,不论此人是否曾就此写下只言片语。这笔罚款在上诉中得以维持,挪威一家法院在2025年再次予以确认。

推理逻辑比数字本身更重要。一位读到这起案件的分类广告运营者,通常会把它归为"这是交友应用的问题,我们只是卖广告"。但监管机构所采用的法律标准,与Grindr这款应用叫什么名字无关。它关注的是一个理性人能从数据中推断出什么,而这个标准并不会止步于交友应用的门口。一个围绕成人个人广告构建的目录,产生的正是同一类数据:一个存在于这类平台上的账户,浏览特定类别,联系特定类型的广告。这一切都不需要一个字的明确表述,就能向第三方透露关于账户背后那个人的私密信息。

这正是那些专注于拒付、年龄验证和内容审核的运营者容易忽略的一点,这些确实都是真实而紧迫的风险。数据保护法是一条完全独立的轨道,有自己的监管机构、自己的罚款,以及一套恰恰是为这类平台量身打造的法律标准,尽管起草时压根没考虑过任何成人网站。

为什么即使无人明说,它依然算数

欧洲法律给那种能让人在不直接陈述的情况下推断出敏感事实的数据起了个名字:推断。2022年8月,欧盟法院对一起与成人内容毫无关系的案件作出裁决。一名立陶宛公职人员被要求申报,包括其伴侣的姓名在内的多项信息,该申报被公开发布在网上。法院认定,即使没有一个字提到性取向,说出一位同性伴侣的姓名,仍然构成对性取向数据的处理,因为读者可以通过法院所称的"比较或推理的智力操作"得出结论。

这一标准远远超出了一位立陶宛公务员的个案。问题从来不是"平台是否说过这个人是同性恋、异性恋或其他身份"。问题在于,一条数据结合普通的推理,是否能让读者得出那样的结论。一个广告类别、一个"寻找"字段、一段服务描述,或者仅仅是一个活跃在围绕特定类型个人广告组织起来的平台上的账户,都可以单独跨过这道门槛,无需附加任何明确标签。

根据GDPR,一旦数据跨过这道门槛,它就不再是普通个人数据,而成为该法规所称的特殊类别,这是第9条中的术语,与健康记录、宗教信仰和工会成员身份属于同一范畴。这不是一个次要的标签。第9条一开始就完全禁止处理这类数据,只为一份简短且封闭的具体情形清单解除这一禁令。相比之下,普通个人数据只需要几种常见法律依据中的一种即可,而这两种制度之间的落差,恰恰是如今大多数分类广告网站在不知不觉中所处的位置。

实际影响是,一个纯粹为搜索和筛选而设计的字段,让访客能按类别或偏好缩小广告范围,正悄悄地承担着双重功能。它帮助访客找到想要的内容,同时也正是监管机构会拿来作为证据的那种数据点,证明该平台正在处理访客和被列出广告者双方的特殊类别数据。删除用户可能输入的标签,并不足以摆脱这一规则的约束;欧盟法院的标准依据的是能被推断出什么,而不是被明确声明了什么。

为什么"我们在欧洲没有办公室"帮不上忙

对所有这一切最常见的反应,来自一位总部远离布鲁塞尔的运营者,认为欧洲监管机构在这里管不着。这种反应是错误的,而GDPR对此有明确解释。第3(2)条规定,只要一家企业向位于欧盟的人提供商品或服务,无论对方是否为此付费,或者只要它监测位于欧盟的人的行为,该法规就适用于这家企业,无论其总部设在何处。这两种情形都不要求存在欧洲实体、欧洲银行账户或欧洲员工。

监管机构用来适用这条规定的指南确实指出,一个网站仅仅能在德国某位访客那里正常加载,本身并不足以触发这条规则。真正让天平倾斜的,是有证据表明企业确实在瞄准欧盟境内的人群:以欧元显示价格、面向欧洲受众的营销活动,或者非常具体地,以欧洲语言提供网站本身。一个分类广告平台如果已经提供法语、德语、意大利语、西班牙语和葡萄牙语版本的页面,正是为了吸引这些访客,那么它已经很接近监管机构用来解释这条规则何时适用的教科书式例子。

这并不是要撤掉每一种欧洲语言或对欧盟访客进行地理封锁的理由,那样做只会把一个合规问题换成一个大得多的业务问题。这是一个理由,让人不再把"我们没有在欧洲注册"当作对数据保护问题的回答。这项义务与处理关于欧盟境内人员的数据相关,而与建立该平台的公司在哪里注册无关。一家已经投入时间和金钱翻译自己网站以吸引欧洲访客的企业,实际上已经做了监管机构用来证明其有意触达这些访客的那件事。

悄然崩溃的广告技术栈

大多数网站通过单一机制处理全部隐私合规事务:一个提供接受或拒绝非必要跟踪的cookie横幅,有时还带有一个"合法利益"的开关。这个横幅是为普通个人数据设计的,在这种情况下,企业确实可以依靠合法利益之类的一般法律依据来运行分析或投放广告,而无需再要求任何更具体的东西。特殊类别数据的运作方式并非如此。第9(2)条有其自己独立、封闭的条件清单,可以解除这一总体禁令,而合法利益不在其中。一个平台需要一个第6条下的常规依据,并且在此之外,还需要一个第9(2)条下的独立条件,而跳过第二项,正是挪威监管机构在Grindr的设置中发现的那个漏洞。

适合商业平台的条件是明确同意,而明确同意的门槛,比cookie横幅通常收集的普通同意要高得多。它必须是关于所共享特定类型数据的清晰、具体、肯定的声明,不能仅仅通过把"与广告合作伙伴共享数据"这样一句话塞进一份笼统的隐私政策、再靠访客继续浏览来默认接受就算满足。监管机构在这一点上态度直接:针对这类处理的同意必须独立存在,与用户所同意的其他条款分开,并明确说明收集了什么、由谁接收。

这恰恰落在大多数分类广告运营者首先会想到的两种工具上:Meta Pixel和谷歌广告转化标签,两者都被设计用来告诉广告平台,哪位访客在哪个页面做了什么,以便广告能被定向投放和衡量效果。在一个综合商品网站上,这只是不起眼的跟踪。而在一个围绕特定类别个人广告组织起来的网站上,同样的信号会告诉接收方平台,某位特定访客正在浏览那个类别,这在功能上等同于让Grindr被罚款的那种披露,只不过是经由另一家供应商的管道传递。这是连为这一类别去开一个谷歌或Meta广告账户都很困难之外的第二个独立理由,促使运营者通过那些从不接收此类信号的渠道来构建流量。

这一切并不意味着运营者必须完全不使用任何分析工具来运营网站。它意味着,这一类别平台的同意流程不能是那种为书店设计的一键式横幅。那个独立的、具体的、选择加入的步骤必须存在,而且必须发生在任何能够向第三方发送类别层面信号的脚本被触发之前,而不是之后。

"但它本来就是公开的"这一陷阱

一旦运营者理解了上述其余内容,一个具体的论点常常会浮现:网站上的广告本来就是公开的,任何加载页面的人都能看到,那怎么会存在特殊保护问题呢。GDPR确实有一项听起来很贴切的例外:第9(2)(e)条为数据主体本人明显公开的数据解除了总体禁令。这听起来正好适用于一个公开广告的目录。

而这也正是Grindr使用过、并且败诉的那个论点。该公司指出,一份资料只有在应用的其他用户面前才可见,并将这种可见性描述为用户本人选择公开该信息。监管机构驳回了这一说法,认定该例外要求当事人本人做出一个刻意而具体的行为,以公开正是那项数据,而不是平台自行决定向任何浏览页面的人展示账户数据。即便是完全公开、没有任何登录门槛的广告,也不会自动跨过这道门槛,因为这项例外提出的问题,关乎发布者本人是否有意公开那个具体事实,而不是关乎事后究竟谁能看到这个页面。

在注册时勾选的一个复选框,埋在注册流程深处,写着某份资料"将在平台上可见",这与一个刻意、知情的行为以公开某项具体敏感事实,完全不是一回事。监管机构在狭义解释这项例外方面一直保持一致,而一个在此基础上构建合规论点的运营者,依赖的正是那个已经在一组几乎完全相同的事实面前接受过检验、却未能站住脚的条件。

这个季度真正该做的事

出发点不是一个新工具,而是一份文件:数据保护影响评估。第35(3)(b)条规定,在大规模处理特殊类别数据之前,必须完成这项评估,这不是一项可有可无的最佳实践,而一个拥有相当数量、围绕个人广告组织起来的分类广告平台,一旦拥有真实的欧盟流量,就正好落入这项要求之中。委托进行这项评估,哪怕是一份适度但做得规范的评估,也能产生一条书面记录,向监管机构表明企业在被问及之前就已认真对待这个问题,而这正是首次投诉如何被处理的最关键单一因素。

接下来是盘点,而不是重新设计:每一个在访客做出任何选择之前就会触发的脚本,每一个像素、每一个分析标签、每一个热力图或会话记录工具。目标是准确知道其中哪些会接收到一个信号,揭示访客正在查看哪个类别的内容,因为这正是整篇文章所讨论的同一种数据形式。已经为身份验证收集的文件,承载着同样这种暴露的一个平行版本,而同样的本能,即准确知道保存了什么、谁能接触到它,适用于这两者。

同意需要有自己独立的步骤,与条款和条件的复选框分开,清楚说明哪些类别的数据会被共享、共享给哪些具名公司,并通过一个肯定性动作来收集,而不是从持续浏览中被默认推定。这在注册时会带来更多摩擦,但它也是唯一一种能够经受住监管机构在投诉到来时真正会适用的标准的同意方式。

最后一部分说起来最简单,做起来却最难割舍:把离开平台的数据降到最低。一个从不接收关于访客的类别层面信号的标签,无论合规计划的其余部分如何构建,都不可能在类似Grindr那样的案件中成为证据。与任何广告或分析供应商最安全的集成方式,就是那种从一开始就从未被给予敏感信号的方式。

以对待支付账户或托管合同的同样方式来对待这件事,这些已经教会了大多数运营者如何处理高风险敞口:在监管机构提出问题之前就想清楚答案,而不是事后才想。能够在第一次数据保护投诉中全身而退的企业,正是那些已经能够拿出存档的影响评估、一套为这一特定数据类别设计的同意流程,以及一份关于究竟什么数据离开了平台、又去向何处的文档化答案的企业。