挪威数据保护局（Datatilsynet）于 2023 年 7 月 17 日对 Meta 旗下 Facebook 和 Instagram 颁布临时禁令，禁止其通过收集和分析用户的位置、网络行为等信息投放个性化广告，要求自 8 月 4 日起三个月内整改，否则每日最高罚款 100 万挪威克朗（约 72 万人民币）。禁令针对的是“行为定向广告”这一被 Datatilsynet 视为最大隐私风险之一的做法，而非基于用户自填资料的广告。
TL;DR
公开数据显示，82% 的挪威成年人拥有 Facebook 账户、65% 拥有 Instagram 账户。Datatilsynet 认定 Meta 长期通过这两个平台收集用户的位置、网络行为偏好和发布内容并加以分析、形成用户画像，推测其私生活、个性和兴趣，违反 GDPR。监管机构特别指出，许多人会围绕健康、政治、性取向等话题互动，从而暴露于针对性营销之下；儿童、老人和认知障碍者等弱势群体需要额外保护。
值得注意的是，禁令留有边界：Datatilsynet 同意 Meta 根据用户在资料页填写的地址、性别、年龄及自选兴趣投放广告，对已经同意接收个性化广告的用户也不受影响。国际负责人 Tobias Judin 强调，以营销为目的的侵入性商业监控已成为互联网数据保护的最大隐患之一。Meta 发言人 Matt Pollard 回应称将重视这一要求。行为定向广告的合规边界，可参考定向广告的隐私合规 。
这并非 Meta 首次因广告数据受罚。2023 年 1 月，爱尔兰 DPC 以侵犯隐私为由对 Meta 处以 3.9 亿欧元罚款，并禁止其利用欧盟成员国用户的网络数据强迫用户接收定向广告，要求三个月内整改；Meta 表示反对判决结果并提起上诉。自 2021 年以来，DPC 已多次就 Meta 的数据隐私问题作出罚款，有分析认为这可能动摇 Meta 依用户在线行为投放广告的商业模式。
这笔 3.9 亿欧元罚款的来龙去脉，见从一次用户隐私投诉演变成的巨额罚单 ；Meta 后续在欧洲以“付费去广告”方式规避同意问题所引发的争议，可参考付费才能去掉广告？多国监管机构对 Meta 提出质疑 。
挪威是欧洲单一市场成员国，但不是欧盟成员国，因此可以采取自己的行动干预 Meta。Datatilsynet 表示，如果现在不介入，大多数挪威人的数据保护权利将被无限期侵犯。它还可能将此决定提交欧洲数据保护委员会（EDPB），以寻求具有约束力的决定。挪威随后请求扩大处罚范围的进展，见挪威请求扩大对 Facebook 母公司的处罚范围 。
本案表明，个性化广告的合规门槛正在提高。个性化广告能提升广告效果与用户体验，但企业在实施时必须充分考虑数据保护：基于用户在线行为的画像与投放，需要有明确的合法性基础，且不能默认用户已同意。对参与全球市场的中国出海企业而言，若需投放个性化广告，应更审慎地区分“基于用户自填资料”与“基于行为追踪”两类做法，遵守当地法规，并建立完善的隐私与安全计划。FTC 层面对 Meta 类似问题的态度，可对照FTC 三度追罚 Meta 。
