西班牙MAXAMCORP跨国工业公司指纹考勤系统DPIA存在重大缺陷被罚40万欧元案

【案件背景】
西班牙跨国工业公司MAXAMCORP International, S.L.主要从事爆炸物制造，在西班牙Burgos的Páramo de Masa工厂为137名员工部署了基于指纹识别的员工考勤系统。该系统于2023年6月至2024年1月期间运行，将员工的指纹转换为生物识别模板进行存储和比对。2024年，西班牙数据保护机构（AEPD）接到投诉后展开调查。

【违法事实】
经AEPD调查认定：一是公司进行的'数据保护影响评估'（DPIA）存在重大缺陷——AEPD明确承认MAXAMCORP在部署前确实制作过一份DPIA报告，但该DPIA未达到GDPR第35条第7款的最低要求：企业将指纹模板错误地识别为'非个人数据'，认为只要没有存储完整指纹图像就不构成处理个人数据，这一基础识别错误导致整个风险评估建立在错误的前提之上；二是未进行比例性分析——DPIA未能评估利用指纹识别是否是实现考勤目的的最少侵入性方式，也未分析是否存在更小侵入性的替代方案（如门禁卡、二维码打卡等）；三是未能证明法律处理基础——指纹属于GDPR第9条下的特殊类别个人数据（生物识别数据），但公司未能证明其处理行为满足第9条第2款下的任一例外情形。

【处罚决定】
AEPD合计处以40万欧元罚款，其中：因处理特殊类别个人数据违规罚款30万欧元；因DPIA不合规罚款10万欧元。公司在被处罚后停止了指纹考勤系统。

【典型意义】
本案集中体现了DPIA的'实质审查'而非'形式审查'趋势。一是DPIA的质量而非数量决定合规——做了DPIA不等于做对了DPIA，AEPD认可公司制作过DPIA但仍予以处罚，说明监管机构将对DPIA进行实质性合规审查；二是基础识别错误是DPIA中最致命的缺陷——将指纹模板认定为'非个人数据'导致全部分析失准，警示企业必须在DPIA起点建立正确的数据分类和定性判断；三是对出海企业具有实操借鉴价值——欧洲DPA对生物识别数据的DPIA要求极为严格，中国企业如计划在欧洲部署指纹、人脸等生物识别系统，必须确保DPIA从数据定性到替代方案分析的全面合规。