希腊移民与庇护部未进行DPIA且不配合监管机构调查被罚17.5万欧元案

【案件背景】
希腊移民与庇护部为加强境内难民、寻求庇护者和移民的收容中心安保，部署了'Centaur'和'Hyperion'两套安保监控系统。Centaur负责管理封闭式管控结构和接待识别中心的电子和物理安全，Hyperion用于监控上述设施中人员的进出，系统涉及大规模监控、人脸识别和生物特征数据处理。自2021年12月以来，欧洲议会LIBE委员会、欧盟基本权利机构、联合国难民署及多家人权组织持续对该系统的合规性提出关切。2024年4月，希腊数据保护机构（HDPA）对该系统展开全面调查并作出处罚。

【违法事实】
经HDPA调查，认定移民部违反了三项GDPR核心条款：一是未进行数据保护影响评估（DPIA）——违反了GDPR第35条（第25条的设计和默认数据保护义务），两套涉及大规模监控的高度侵入性系统在采购和部署前未进行任何全面的、统一的DPIA，HDPA认定此为系统性违法行为并罚款10万欧元；二是不配合监管机构调查——违反了GDPR第31条关于'配合监管机构'的义务，提交的备忘录和文件内容含混、不完整、自相矛盾，未能提供与数据处理者的数据处理协议（第28条合同），未就Centaur系统的自动化功能及与Hyperion系统和其他公共系统的互联关系提供说明，为此HDPA额外罚款7.5万欧元。

【处罚决定】
HDPA合计处以17.5万欧元行政罚款，其中DPIA违规罚款10万欧元，不配合调查罚款7.5万欧元。给予移民部三个月期限（如行使行政法院救济则顺延）进行合规整改。

【典型意义】
本案是欧盟公共部门因大规模监控系统DPIA违规被罚的标志性案例。一是DPIA义务平等适用于公共部门——政府部门（包括涉及国家安全的机构）在处理个人数据时与商业企业承担相同的DPIA义务，'保护公共安全的目的'不能豁免GDPR对风险评估制度的要求；二是不配合调查构成独立的违法事实——7.5万欧元的罚款专门针对调查配合义务的违反，表明监管机构将程序性义务与实体性义务同等对待；三是DPIA必须从系统设计的源头开始——'在采购和部署前'进行DPIA是强制要求，事后补充的DPIA不能替代事前的评估义务。