2023 年 7 月 26 日，澳大利亚联邦法院判处 Meta 旗下 Facebook Israel 与 Onavo Inc 合计 2000 万澳元（约合 1400 万美元）罚款，理由是二者在推广 Onavo Protect 应用时从事了可能误导公众、违反澳大利亚消费者法的行为。核心问题不在数据泄露，而在披露：这款免费 VPN 应用只告诉用户数据用于实现其自身功能，却未披露数据会共享给母公司 Meta 并用于商业分析获利。案件由澳大利亚竞争与消费者委员会（ACCC）于 2020 年 12 月发起。

TL;DR

• 2023 年 7 月 26 日，澳大利亚联邦法院判 Facebook Israel 与 Onavo Inc 各 1000 万澳元、合计 2000 万澳元（约 1400 万美元）罚款。
• Onavo Protect 是一款免费 VPN，在澳有效期内被安装 271,220 次；它向 Meta 共享用户的网络与应用活动数据用于市场研究，但未在应用商店隐私标签中披露。
• 法官 Abraham 认为罚款本可更高，但 2000 万澳元足以”刺痛”Meta、起到威慑，使企业不把罚款当作正常经营成本。
• 案件给出两点教训：应用商店隐私标签须与隐私政策和实际处理一致；即便是匿名化、聚合后的数据使用也应在隐私政策中披露。

案情：宣传”保护隐私”，却隐瞒数据共享

Onavo Protect 是一款提供 VPN 服务的免费应用，在澳大利亚应用商店上架三年内被下载超过 27 万次，2016 年 12 月至 2019 年 5 月间有大量活跃用户。在 Google 与 Apple 应用商店中，它都把数据安全作为卖点，宣传语包括”帮助保护您和您的数据安全""使用安全的 VPN 保护个人信息”。

在应用商店隐私标签中，Onavo Protect 声称用户数据只用于提供应用自身功能，未提及所收集的澳大利亚用户在线活动数据还有其他用途。事实上，Onavo 与 Facebook Israel 把通过应用收集的用户网络和应用活动数据（含应用访问记录与使用时长）共享给了当时仍称 Facebook 的母公司，以支持其市场研究。这种隐瞒足以让用户误以为该应用能完全保护隐私，从而下载使用。

事件脉络与裁决

ACCC 于 2020 年 12 月发起诉讼，主席 Gina Cass-Gottlieb 指出 Facebook 没有向客户适当披露 Onavo Protect 在设备上收集应用与网络使用数据的事实，消费者本应基于清晰、不具误导性的信息对数据去向做出选择。在事实声明中，Meta 各方承认 Onavo Protect 与 Meta 共享了用户数据以支持市场研究，且未在应用商店向用户披露。

2023 年 7 月 26 日，法官 Abraham 对两家公司各判 1000 万澳元罚款。裁决指出罚款本可更高：虽无法确定有多少澳大利亚消费者查看过隐私标签，但有效期内该应用共被安装 271,220 次，即便只有一半来自不同消费者，按澳大利亚消费者法理论上限也高达 1450 亿澳元。最终法官以能”刺痛”Meta、使其不把罚款视为可接受经营成本的 2000 万澳元作结。

教训一：应用商店隐私标签必须如实填写

本案凸显了应用商店隐私标签的重要性。无论是 Google Play 的 Data Safety 表单还是 Apple App Store 的 Privacy Nutrition Labels，都应引起开发者重视。

现实中不少开发者在填写隐私标签时直接勾选”不收集个人数据”，或草草勾选几项，与事实严重不符。常见的侥幸心理有三种：认为应用商店审核不严格、认为审核被拒后果不严重（顶多短期下架）、认为在隐私政策中披露就足够。本案表明这些侥幸都站不住脚——即便商店不查、用户不看，企业仍面临监管审查乃至千万级罚款。隐私标签须与隐私政策以及产品实际的数据处理活动保持一致，做到真实、准确、全面。关于隐私标签的具体写法，可参考 应用软件”隐私营养标签”的填写要点。

教训二：匿名化数据的使用也应披露

Meta 发言人辩称，用于商业目的的数据在被使用前已经过匿名化和聚合，无法定位到特定个人，因此无需披露。但在澳大利亚监管机构面前，这一逻辑没有成立：未对用于商业目的的匿名数据作披露，最终被认定为误导公众、违反消费者法。

这提醒法务团队，即便是匿名化或聚合后的数据使用，仍应在隐私政策中做适当披露作为兜底。多写的一两句话，可能就为企业省下千万级损失。Meta 在多个法域都因数据实践付出代价，例如 向加拿大用户支付 5100 万美元和解隐私诉讼；出海企业更应把披露透明度当作基本功，避免重蹈 百万美金教训 式的覆辙。