罗马尼亚能源公司未实施与数据风险级别相称的安全措施导致用户账户数据被窃取罚款25000欧元案

【案件背景】
2025年10月9日，罗马尼亚数据保护局（ANSPDCP）公布了对一家能源行业数据控制者的调查结论。调查起因是该能源公司主动向监管机构提交的数据泄露通知——公司发现大量数据主体的个人数据遭到未经授权的访问和外泄，涉及用户账户信息、电子邮件地址和密码等数据。由于能源行业是欧盟认定的关键基础设施领域之一，此类数据泄露不仅涉及个人信息保护，还可能影响能源供应的安全稳定。

【违法事实】
罗马尼亚DPA调查认定该能源公司违反了GDPR第32条第1款b项和第32条第2款：一是未实施与数据处理风险级别相称的适当技术和组织措施——公司处理的用户账户数据和密码属于高风险级别的身份验证信息，但安全保护水平未能反映这一风险等级；二是未能确保处理系统和服务的持续保密性——安全措施未能有效预防未经授权的访问和披露；三是未对所有用户实施强制性多因素认证（MFA）——这被DPA在处罚决定中作为具体的整改措施指令提出，说明DPA已将MFA视为处理用户账户数据的基本安全要求而不是可选方案；四是安全事件的发生和受影响数据主体的广泛范围表明公司的安全防护水平与数据风险之间存在实质性差距。

【处罚决定】
罗马尼亚DPA对该公司处以相当于25000欧元的罗马尼亚列伊罚款。此外，DPA还发出了具体的安全整改指令：要求公司对所有用户账户强制实施多因素认证，并采取其他与数据处理风险水平相称的适当技术和组织措施。

【典型意义】
本案代表了GDPR中小企业执法的典型模式——罚款金额虽小但整改措施指令具体明确。一是'相称性原则'的双向适用——GDPR要求安全措施与风险级别相称，这不只是对企业的要求，也是监管机构在确定罚款时的参考因素。罗马尼亚DPA将罚款设定在较低水平反映了对公司规模和合作态度的考量，但同时通过具体化整改措施确保了合规效果。二是能源行业作为关键基础设施受到监管重点关注——能源公司的数据安全漏洞可能在社会层面产生连锁反应，这是DPA在评估风险级别时需要衡量的额外因素。三是执行措施中的信息披露——要求公开整改措施等于将企业置于公众和同业监督之下，这是比罚款本身更具威慑力的合规驱动机制。