Tinder被爱尔兰DPC罚款1100万欧元：自助数据下载必须说明遗漏了什么

如果您的网站或应用允许用户下载自己的数据，或者在隐私门户、偏好中心里向他们展示这些数据，请检查这个工具遗漏了什么。2026年11月13日，爱尔兰数据保护委员会（DPC）宣布对MTCH Technology Services Limited处以1100万欧元罚款，这家公司隶属于Match Group，负责运营Tinder。Tinder的“Download My Data”工具只向用户提供了部分个人数据，并且没有告诉他们。

Tinder被爱尔兰DPC罚款1100万欧元：自助数据下载必须说明遗漏了什么

DPC的决定

DPC作为MTCH在欧盟的主导监管机构，于2020年1月主动启动了这项调查，审查Tinder如何答复要求获取数据副本的用户。

Tinder通过一个名为“Download My Data”的自动化工具处理这些请求。DPC认定，该工具没有向用户提供其全部个人数据：某些类别的信息在未告知用户的情况下被省略，或者只以汇总形式提供。这违反了GDPR第15条第3款，该条款赋予个人获取企业所处理的本人个人数据副本的权利。

DPC的公告没有列出缺失的类别。RTÉ援引委员Niamh Sweeney的说法报道称，部分活动只以每日总数的形式提供，例如某一天的滑动次数或匹配次数；可能包含性别和位置的分析数据则没有包含在内。

决定包括三部分：

• 一项训诫
• 1100万欧元罚款
• 责令在三个月内使数据处理符合规定

Match Group表示将提起上诉，并称Tinder在整个调查过程中一直配合DPC。DPC将在稍后公布决定全文。

可以只提供部分数据，但不能不说明

DPC并没有说自助工具必须返回全部数据。副委员Graham Doyle表示，自动化访问工具可以是提供个人数据访问的一种有用而高效的方式，并补充说（大意）：

这些工具不必提供个人数据的完整副本，但必须就所提供数据的范围对个人做到公平、透明。

Tinder的用户无从知道文件是不完整的。一个人下载了自己的数据，没有看到位置历史，就会认为企业没有保存。他不会为自己不知道存在的数据再提一次请求，访问权也就止步于工具能够导出的内容。

这与EDPB关于访问权的指南一致。自助工具是答复请求的一种被认可的方式；数据量很大时，企业可以分层提供，前提是当事人提出要求时能够拿到每一层。

DPC表示，在其审查的期间内，有数万名用户使用过该工具。

检查您自己的工具

同样的检验适用于任何向用户展示其本人数据的工具：账户导出、“我的数据”页面、隐私门户或偏好中心。

列出所有保存个人数据的系统

导出功能通常基于产品的主数据库构建。分析事件、广告平台受众、客服工单、CRM备注、同意记录以及细分、评分等推断属性存放在别处，容易被遗漏。请把导出内容与您的处理活动记录进行比对，而不是与生成它的数据库比对。

说明下载包含哪些内容

如果工具只返回部分数据，请在用户开始下载的页面上以及文件内部说明这一点，并列出未包含的类别。

提供获取其余数据的途径

在下载入口旁边，链接到一个申请完整副本的表单。通过该表单提出的请求就是一次普通的数据主体访问请求，适用一个月的答复期限。

不要用汇总代替数据

Tinder的部分数据只以汇总形式提供。事件的次数不等于事件的副本。如果您保存了明细记录，当事人有权获得这些记录。

产品变化时复查工具

新功能、新SDK或新的分析工具往往会带来新的个人数据类别。请把导出功能加入发布检查清单，避免它落后于产品。

偏好中心也有同样的缺口

偏好中心做出的是类似的承诺：这就是您同意过的内容。如果它显示了订阅邮件的选择，却没有显示短信同意、在横幅中做出的Cookie选择或应用中的个性化设置，用户看到的只是一部分，而且没有理由怀疑它不完整。

解决办法相同：要么展示您所依赖的每一项同意，要么说明哪些在别处管理并提供链接。

UniConsent中的数据请求

UniConsent的Privacy Portal为您的用户提供一个部署在您自有域名上的页面，用于管理同意和营销偏好，并提交访问、删除、更正和数据可携带请求。每个请求都会按法定期限跟踪，每一步操作都带时间戳记录。

您可以把请求表单放在自己的下载工具旁边，这样当用户需要的内容超出工具所提供的范围时，有一个明确的途径提出请求。

来自Cookie横幅、您的表单和应用的同意选择会连同历史记录一起保存，因此访问请求答复中的同意部分是完整的。参见同意审计跟踪。

立即注册，为您的网站配置隐私门户。

更多近期决定，请参阅2026年GDPR执法罚款概览。

参考资料

• Data Protection Commission fines MTCH €11 million following Inquiry into Tinder users' personal data requests - DPC
• Tinder owner fined €11m by Data Protection Commission - RTÉ
• Data Protection Commission fines Tinder owner €11m - Irish Examiner
• Guidelines 01/2022 on data subject rights - Right of access - EDPB