态势|欧盟成员国GDPR重点执法案例汇编（2023.05）

梦溪拾笔数字治理全球洞察 2023-06-07

收录于合集

来源|CAICT互联网法律研究中心作者|杜安琪中国信息通信研究院互联网法律研究中心助理研究员杨默涵中国信息通信研究院互联网法律研究中心实习生

欧盟的《一般数据保护条例》（GDPR）为欧洲打造了统一的规则体系，以高额罚金等惩罚性措施来加强数据保护。在2023年5月份的数据中（数据截止到6月1日），罚款总额较上月大幅上升，罚款次数却在减少。其中，在爱尔兰出现了针对Meta的12亿欧元的罚款，这是迄今为止根据GDPR处以的最高罚款。在克罗地亚也出现了其有史以来的最高罚单226.5万欧元。

第一部分：罚款数据统计

一、累计数量

月份	罚款总额累计	罚款总次数累计
2023年5月	€ 3,987,196,353	1653

二、单月数量

月份	罚款额	罚款数
2023年5月	€ 1,207,739,860	21

三、5月累计最高罚款额

国家	罚款金额
爱尔兰	€1,200,000,000（1项罚款）
法国	€5,200,000（1项罚款）
克罗地亚	€2,265,000（1项罚款）
西班牙	€228,360（11项罚款）
罗马尼亚	€37,500（6项罚款）
塞浦路斯	€9,000（1项罚款）

四、5月罚款次数

国家	罚款数
西班牙	11（总€228,360）
罗马尼亚	6（总€37,500）
爱尔兰	1（总€1,200,000,000）
法国	1（总€5,200,000）
克罗地亚	1（总€2,265,000）
塞浦路斯	1（总€9,000）

五、5月违规类型统计

违规类型	罚款金额
与监管机构的合作不足	€ 5,204,500（被罚款4次）
确保信息安全的技术和组织措施不足	€ 2,294,500（被罚款5次）
不遵守一般数据处理原则	€ 207,660（被罚款5次）
数据处理的法律依据不足	€ 22,200（被罚款5次）
数据主体权利未充分实现	€ 11,000（被罚款1次）

违规类型	罚款次数
确保信息安全的技术和组织措施不足	5（总€2,294,500）
不遵守一般数据处理原则	5（总€207,660）
数据处理的法律依据不足	5（总€22,200）
与监管机构的合作不足	4（总€5,204,500）
数据主体权利未充分实现	1（总€11,000）

第二部分：具体案例

一、西班牙
（一）西班牙DPA处罚个人拟处罚金额：480处罚依据：Art. 5 (1) c) GDPR, Art. 13 GDPR处罚时间：2023-05-25案件事实概述：西班牙 DPA 已对个人处以罚款，因为其安装了一个覆盖了公共场所和附近的财产的视频监控摄像头。DPA 认为这违反了数据最小化原则。此外，该控制者没有适当告知数据主体视频监控对数据的处理，因此违反了告知义务。由于自愿缴纳，原罚款600欧元减为480欧元。
（二）西班牙DPA处罚个人拟处罚金额：600处罚依据：Art. 58 (2) GDPR处罚时间：2023-05-25案件事实概述：西班牙 DPA 已对未能遵守 DPA 发布的命令的个人处以 600 欧元的罚款。
（三）西班牙DPA处罚NORDETIA CLINICS IBERIA, SL拟处罚金额：3,000处罚依据：Art. 58 (1) GDPR处罚时间：2023-05-24案件事实概述：西班牙 DPA 因NORDETIA CLINICS IBERIA, SL未能在调查期间提供 DPA 要求的信息而对其处以 3,000 欧元的罚款。
（四）西班牙DPA处罚个人拟处罚金额：10,000 处罚依据：Art. 6 (1) GDPR处罚时间：2023-05-24案件事实概述：西班牙 DPA 对个人处以 10,000 欧元的罚款，原因是其未经他人同意在网站上发布他人的照片和地址。
（五）西班牙DPA处罚WILLOUGHBY COLLEGE, SA拟处罚金额：900 处罚依据：Art. 58 (1) GDPR处罚时间：2023-05-17案件事实概述：西班牙 DPA 因WILLOUGHBY COLLEGE, SA未能在调查期间提供 DPA 要求的信息而对其处以罚款。由于其立即付款且认罪，原来的 1,500 欧元罚款减为 900 欧元。
（六）西班牙DPA处罚ESTUDIO INMOBILIARIO SAN ISIDRO, SLU拟处罚金额：5,000处罚依据：Art. 6 (1) GDPR处罚时间：2023-05-09案件事实概述：西班牙 DPA 对 ESTUDIO INMOBILIARIO SAN ISIDRO, SLU 处以 5,000 欧元的罚款。起因是个人向 DPA 提出了投诉，指控该公司的员工在未经他们同意的情况下访问其住所并宣传该公司的租赁服务。
（七）西班牙DPA处罚个人拟处罚金额：180处罚依据：Art. 5 (1) c) GDPR处罚时间：2023-05-09案件事实概述：西班牙 DPA 已对个人处以罚款，原因是其安装了覆盖了公共场所和邻近的财产的视频监控摄像头。DPA 认为这违反了数据最小化原则。由于自愿缴纳和承认责任，原来的 300 欧元罚款减为 180 欧元。
（八）西班牙DPA处罚业主协会拟处罚金额：2,000处罚依据：Art. 5 (1) f) GDPR处罚时间：2023-05-05案件事实概述：西班牙 DPA 对一家业主协会处以 2,000 欧元的罚款。由于协会成员访问了社区的视频监控录像并通过 WhatsApp 发送，一位业主向 DPA 提出了投诉。
（九）西班牙DPA处罚FUNDACIÓ PRIVADA UNIVERSITARIA EADA拟处罚金额：1,200处罚依据：Art. 6 (1) GDPR处罚时间：2023-05-05案件事实概述：西班牙 DPA 对 FUNDACIÓ PRIVADA UNIVERSITARIA EADA 处以罚款。参加过培训活动的个人对该教育机构提出了投诉，指控其在未经数据主体同意的情况下，出于宣传目的使用了显示数据主体的培训活动图片。由于自愿缴纳和承认责任，原来的 2,000 欧元罚款减为 1,200 欧元。
（十）西班牙DPA处罚GSMA LTD拟处罚金额：200,000处罚依据：Art. 35 GDPR处罚时间：2023-05-03案件事实概述：西班牙 DPA 已对 GSMA LTD 处以 200,000 欧元的罚款。一个人向 DPA 提出投诉，因为他们必须将特殊类别的个人数据（例如，身份证数据）传输给控制者才能注册。在调查过程中，DPA 发现控制者未能对这些处理操作进行数据保护影响评估。
（十一）西班牙DPA处罚BANQUETES SANTA ANA, SL拟处罚金额：5,000处罚依据：Art. 5 (1) c) GDPR处罚时间：2023-05-03案件事实概述：西班牙 DPA 对 BANQUETES SANTA ANA, SL 处以 5,000 欧元的罚款，因为其要求一对在其场所庆祝婚礼的夫妇提供客人的个人数据，包括身份证号码，以便在 Covid-19 大流行的背景下进行联系追踪。DPA 确定，出于接触者追踪目的，不需要如此广泛的个人信息，例如，提供姓名就足够了。
二、罗马尼亚
（一）罗马尼亚 DPA 处罚 Global Baby Brand SRL拟处罚金额：1,000处罚依据：Art. 7 GDPR处罚时间：2023-05-23案件事实概述：罗马尼亚 DPA 对 Global Baby Brand SRL 处以 1,000 欧元的罚款。一个人向 DPA 提出投诉，声称控制者未经他们的同意就发送了商业 SMS 消息。在调查过程中，DPA 发现控制者无法证明其在数据主体的有效同意下出于营销目的处理了数据主体的电话号码。
（二）罗马尼亚 DPA 处罚AUTOMOBILE BAVARIA SRL拟处罚金额：18,000处罚依据：Art. 32 (1) b), d) GDPR, Art. 32 (2) GDPR, Art. 25 (1) GDPR处罚时间：2023-05-18案件事实概述：罗马尼亚 DPA 对 AUTOMOBILE BAVARIA SRL 处以 18,000 欧元的罚款。数据控制者已根据 GDPR 第33条将数据泄露事件通知当局。不明人士设法在控制者的网站上未经授权披露了 290 名客户的姓名、电话号码、住所等个人数据。在调查过程中，DPA 发现控制者未能采取适当的技术和组织措施来保护个人数据，从而导致了此类事件发生。
（三）罗马尼亚 DPA 处罚罗马尼亚邮政拟处罚金额：5,000处罚依据：Art. 5 (1) a) GDPR, Art. 5 (2) GDPR, Art. 6 (1) GDPR处罚时间：2023-05-16案件事实概述：罗马尼亚 DPA 对罗马尼亚邮政 (Compania Naşională Poşta Română SA) 处以 5,000 欧元的罚款。在调查过程中，DPA 发现该控制者在没有有效法律依据的情况下处理了员工的个人数据。
（四）罗马尼亚 DPA 处罚NN Asigurări de Viaşă SA拟处罚金额：1,000处罚依据：Art. 32 (1) b), d) GDPR, Art. 32 (2) GDPR处罚时间：2023-05-12案件事实概述：罗马尼亚 DPA 对保险公司 NN Asigurări de Viaşă SA 处以 1,000 欧元的罚款。控制者已根据GDPR第33条将数据泄露事件通知当局。控制者对其系统进行了一些技术更改，允许某些网站访问者访问其他人的个人数据。这导致两个人的姓名、身份证号码、电子邮件等个人数据被未经授权访问。在调查过程中，DPA 发现控制者未能采取适当的技术和组织措施来保护个人数据，从而导致了此类事件发生。
（五）罗马尼亚 DPA 处罚NN Pensii Societate de Administrare a unui Fond de Pensii Administrat Privat SA拟处罚金额：1,500处罚依据：Art. 32 (1) b), d) GDPR, Art. 32 (2) GDPR处罚时间：2023-05-12案件事实概述：罗马尼亚 DPA 对保险公司 NN Pensii Societate de Administrare a unui Fond de Pensii Administrat Privat SA 处以 1,500 欧元的罚款。控制者已根据GDPR第33条将数据泄露事件通知当局。控制者对其系统进行了一些技术更改，允许某些网站访问者访问其他人的个人数据。这导致两个人的姓名、身份证号码、电子邮件等个人数据被未经授权访问。在调查过程中，DPA 发现控制者未能采取适当的技术和组织措施来保护个人数据，从而导致了此类事件发生。
（六）罗马尼亚 DPA 处罚Libra Internet Bank SA拟处罚金额：11,000处罚依据：Art. 12 (2), (4) GDPR, Art. 15 (3) GDPR处罚时间：2023-05-11案件事实概述：罗马尼亚 DPA 已对 Libra Internet Bank SA 处以 11,000 欧元的罚款。个人投诉该银行未能完全遵守他们的信息请求。在调查过程中，DPA 还发现银行没有向数据主体提供有关向 DPA 提出投诉的可能性的信息。此外，该银行无法证明它保证了数据主体权利的行使。
三、爱尔兰
（一）爱尔兰 DPA (DPC)处罚 Meta Platforms Ireland Limited拟处罚金额：1,200,000,000处罚依据：Art. 46 (1) GDPR处罚时间：2023-05-12案件事实概述：爱尔兰 DPA (DPC) 已对 Meta Platforms Ireland Limited 处以 12 亿欧元的罚款。这是迄今为止根据 GDPR 处以的最高罚款。在处罚决定中，DPC 认定Meta违反了GDPR第46条（1）款，在欧洲法院的 Schrems II 裁决后继续将个人数据传输到美国。根据 Schrems II 裁决，美国法律并未提供与欧盟法律实质上相当的个人数据保护水平，标准合同条款 (SCC) 也无法弥补美国法律提供的保护不足。Meta 将其数据基于 SCC 和额外的自身保护措施传输至美国。然而，在调查过程中，DPC 认定这些额外措施并未弥补美国法律提供的不充分保护。经过调查，DPC 根据GDPR第60条向其他有关监管机构提交了决定草案。作为回应，DPC 收到了其他监管机构的反对意见，导致欧洲数据保护委员会 (EDPB) 开始了争端解决程序。EDPB 要求 DPC 修改拟议的罚款并使其适应数据保护漏洞的严重性。DPC 还要求Meta在五个月内暂停向美国传输个人数据，并在六个月内停止存储已经传输到美国的数据。Meta 宣布将对处罚决定提出上诉，并通过法院寻求暂缓执行命令。
四、法国
（一）法国 DPA 处罚 Clearview AI拟处罚金额：5,200,000处罚依据：Unknown处罚时间：2023-05-10案件事实概述：法国 DPA 对 Clearview AI 处以 520 万欧元的罚款。DPA 已于 2022 年因非法收集个人数据对该公司处以 2000 万欧元的罚款。除罚款外，DPA 还命令该公司在两个月内使其对个人数据的处理符合数据保护法。但是，该公司并未提供在此期间内合规的证据。
五、克罗地亚
（一）克罗地亚DPA (AZOP)处罚一家讨债公司拟处罚金额：2,265,000处罚依据：Art. 6 (1) GDPR, Art. 13 (1) GDPR, Art. 28 (3) GDPR, Art. 32 (1) b), d) GDPR, Art. 32 (2) GDPR处罚时间：2023-05-04案件事实概述：克罗地亚DPA (AZOP)对一家讨债公司处以226.5万欧元的罚款。这是AZOP有史以来开出的最高罚单。AZOP在2022年12月收到了一份匿名投诉，称催收机构未经授权处理了大量债务人的个人数据。在诉状中还附有载有77,317名债务人的个人资料(姓名、出生日期、身份证号码)的U盘。在调查过程中，AZOP发现控制者没有在其隐私政策中提供有关个人数据处理的足够信息。此外，它没有提供关于退还多付款项的法律依据的资料。此次数据泄露影响了132,652人。此外，AZOP发现，控制者没有与监控消费者破产的处理者签订数据处理协议。这使得83,896个人的数据处于危险之中。这个缺口持续了2年。最后，AZOP发现控制者未能实施足够的技术和组织措施来保护个人数据。控制者安全系统的缺陷导致大规模个人数据的处理不安全，导致未经授权的数据过滤。AZOP指出，至少从2019年开始，数据泄露就一直在进行，迄今尚未得到解决。AZOP考虑的加重因素包括在此过程中控制者未能与DPA充分合作。此外，控制者尚未通知AZOP其已采取的其他风险防范措施，并且尚未使其隐私政策符合GDPR。
六、塞浦路斯
（一）塞浦路斯 DPA 处罚 NAGA Markets Europe Ltd.拟处罚金额：9,000处罚依据：Art. 5 (1) f) GDPR, Art. 32 (1) b), d) GDPR处罚时间：2023-05-02案件事实概述：塞浦路斯 DPA 已对 NAGA Markets Europe Ltd. 处以 9,000 欧元的罚款。一个人匿名访问了该公司的数据库，导致该公司持有的大约 342,000 名客户的数据遭到泄露。DPA 发现控制者没有实施适当的技术和组织措施来保护个人数据，从而助长了此类违规行为。

— END —

图文编辑：北京师范大学许睿萱

李光耀：过早翘起尾巴与美国对抗是中国厄运的开始！

谁会想到，裁员会裁到总编辑头上

太讽刺：搞宣传的，倒台了！

@所有人，今日起全部免费领取

现在有什么副业可以让人快速上岸? 可以试试这个行业，上岸其实不难!!

态势|欧盟成员国GDPR重点执法案例汇编（2023.05）

您可能也对以下帖子感兴趣

李光耀：过早翘起尾巴与美国对抗 是中国厄运的开始！

谁会想到，裁员会裁到总编辑头上

太讽刺：搞宣传的，倒台了！

@所有人，今日起全部免费领取

现在有什么副业可以让人快速上岸? 可以试试这个行业，上岸其实不难!!

生成图片，分享到微信朋友圈

态势|欧盟成员国GDPR重点执法案例汇编（2023.05）

您可能也对以下帖子感兴趣

李光耀：过早翘起尾巴与美国对抗是中国厄运的开始！