2025年12月19日，奥地利最高法院（OGH）就隐私活动家 Max Schrems（代表 noyb）与 Meta Platforms Ireland 长达11年的诉讼做出终审判决：认定 Meta 现有个性化广告数据处理模式违法，明确否定其长期依赖的 GDPR 第6(1)(b) 条「履行合同所必需」抗辩，并认定 Meta 违法处理敏感个人数据、未全面履行数据主体访问权。法院要求 Meta 在收到用户请求后14天内免费提供全部个人数据的完整副本，涵盖具体的数据来源与接收方身份，而非模糊类别或自助下载工具，并判赔500欧元非物质损害。

TL;DR

• 2025年12月19日，奥地利 OGH 终审裁定 Meta 个性化广告数据处理违法，判赔 Max Schrems 500欧元非物质损害。
• 法院否定 GDPR 第6(1)(b) 条「履行合同所必需」抗辩，援引 CJEU 初步裁决认定个性化广告并非实现社交服务目的的客观必需。
• 法院认定 Meta 通过 Pixel 和 SDK 无差别抓取用户在医疗、政治、交友等第三方网站的浏览记录，构成对 GDPR 第9条特殊类别数据的非法处理。
• 法院认定 Meta 的自助工具让用户需点击54个链接、接收方仅披露模糊类别，不符合 GDPR 第15条简洁透明的信息披露义务，须14天内免费提供完整数据副本。

案情梳理

本案始于 Max Schrems 2014年对 Meta 发起的诉讼。原告认为 Meta 在未获有效同意的情况下，把用于个性化广告的数据处理强行解释为履行服务合同所必需，并通过 Pixel 等社交插件在后台广泛收集其在第三方网站的访问记录，且未依法完整履行数据访问权义务。原告请求法院确认同意条款无效，发布禁令要求 Meta 停止基于「履行合同所必需」处理其数据用于广告及聚合分析、禁止在无明确同意下追踪第三方浏览行为，并提供包含具体接收方和原始来源的完整数据副本及赔偿。

Meta 辩称个性化广告是其免费社交网络服务的核心组成和营利模式，处理相关数据属于 GDPR 第6(1)(b) 条的履行合同所必需；同时主张技术架构无差别抓取数据、无意挖掘敏感数据，且自助查询工具已满足第15条的披露要求。

违规一：个性化广告非履行合同所必需

法院援引欧盟法院（CJEU）的初步裁决指出，个性化广告虽然能给用户带来相关性内容，但并非实现社交网络服务目的的客观必需。法院认为个性化广告本质上是 Meta 为自身收入向广告商提供的服务，属于商业变现，而不是针对用户的核心合同义务。因此 Meta 不能以此为由强制处理个人数据用于广告分析和聚合，这一认定直接否定了该场景下「履行合同所必需」作为合法性基础。

这延续了欧盟对 Meta 广告合法性基础的一贯收紧。从「同意或付费」模式到个性化广告合法性被否，Meta 的广告数据处理已在多个法域受挑战，可对照挪威请求扩大对 Meta 个性化广告的处罚与BEUC 针对 Meta 付费订阅提出质疑。

违规二：无差别抓取第三方敏感数据

Meta 通过 Pixel 和 SDK 等插件，在后台广泛且无差别地收集用户在医疗、政治、交友等第三方网站的访问记录。法院认为，用户访问高度敏感主题网站的数据构成 GDPR 第9条的特殊类别数据：例如艾滋病援助网、政党官网、同性交友 App 的浏览记录，网站本身的内容直接赋予行为数据敏感属性（健康状况、政治观点、性取向），即使用户仅点击一次，也足以让控制者推断其敏感状态。

Meta 辩称原告曾在公开场合谈论性取向、因而适用数据主体自行公开的豁免条款，被法院明确驳回。法院指出，用户公开谈论性取向，并不代表 Meta 有权追踪并记录其私下访问特定约会软件的具体行为数据。GDPR 第9条要求对特殊类别数据实行选择性加入（Opt-in），Meta 的无差别追踪违反了这一保护要求。这与 Meta 在其他法域因缺乏合法依据处理数据而受罚的逻辑一致，可参考Meta 因缺乏法律依据收集处理数据被韩国罚款216亿韩元与Meta 因违规收集用户数据被意大利处350万欧元罚款。

违规三：访问权响应设置技术障碍

GDPR 第15条要求控制者向用户提供所有正在处理的个人数据及相关元数据（如来源、接收者），形式必须简洁透明。法院认为 Meta 的自助工具仅显示筛选后的数据片段，让用户迷失在多个链接中，未提供完整的处理概览，具体包括三点：接收方模糊化，仅披露「广告商」等模糊类别而非具体实体名称；工具碎片化，原告为获取完整信息需点击多达54个不同链接且数据分散不全；溯源缺失，未提供非直接收集数据的具体原始来源，仅提供第三方列表而未对应具体数据点。据此，法院认定 Meta 违反第15条，须在14天内免费提供完整数据副本。

对出海企业的启示

本案对在欧盟及全球运营的跨国企业提供了三点合规指引。一是审查个性化广告等商业变现目的的数据处理法律基础：排查产品中的个性化推荐或广告功能，避免笼统依赖「履行合同所必需」；若该功能主要为增加平台收入而非实现针对用户的核心功能，应获取明确同意或在严格评估下论证合法利益，并提供退出机制。二是审查第三方追踪数据的敏感性：如果 SDK 或 Pixel 部署在医疗、宗教、政治、金融、性取向等敏感属性的第三方网站，即便收集的只是 URL、时间戳等浏览记录，也可能被视为敏感数据，应建立白名单机制或在处理前强制取得显式同意。三是完善数据主体权利响应机制：自助查询不能简单堆砌工具链接，应确保导出的是结构化、完整、可读的单一文件，后台需具备精细追溯能力，能披露具体是哪一家第三方接收了数据以及数据的原始来源，而非模糊的行业类别。

参考：判决书原文 https://noyb.eu/sites/default/files/2025-12/OGH_ruling_Meta_redacted_autotranslation.pdf 。