荷兰Experian信用数据处理业务DPIA不足被罚270万欧元案

【案件背景】
2025年11月，荷兰数据保护机构（AP）对信用信息服务机构Experian Nederland B.V. 处以270万欧元罚款。Experian是全球三大信用局之一，在荷兰收集和处理数百万消费者的信用数据，用于信贷评估、反欺诈、市场营销等目的。AP在调查中发现Experian在多个数据处理环节中违反了GDPR的规定，其中DPIA的充分性是核心调查焦点之一。

【违法事实】
经AP调查，Experian存在以下DPIA相关违规行为：一是数据保护影响评估（DPIA）存在系统性不足——Experian作为大规模处理消费者敏感信用信息的机构，在开展信用评分、风险建模和客户画像等高风险处理活动前，未进行充分、全面和深入的DPIA，特别是未充分评估信用评分算法可能造成的歧视性影响；二是对数据主体的处理活动的透明度不足——消费者不清楚其信用数据如何被收集、分析、评分和共享，这与DPIA中应对数据处理目的进行充分描述的要求形成系统性违反；三是未对大量第三方数据供应商实施充分的合规监管——DPIA中对数据处理链条的风险分析覆盖面不足，未将全部供应商纳入评估范围。

【处罚决定】
荷兰AP对Experian Nederland B.V.处以2,700,000欧元（270万欧元）行政罚款，并要求其全面整改数据处理流程和DPIA体系。

【典型意义】
本案揭示了信用信息行业DPIA合规的深远要求。一是DPIA必须覆盖算法公平性——信用评分和风险评估模型的歧视性影响是DPIA必须评估的核心风险，这不仅是数据保护问题，更涉及消费者基本权利保护；二是DPIA的数据流映射必须覆盖完整的数据生态系统——信用局的数据来自多个供应商，DPIA需覆盖整个处理链条，任何未被评估的'盲点'都可能构成违规；三是DPIA制度的完善程度是区分合规信用机构和侵犯隐私信用机构的关键标尺，对于处理数百万消费者敏感金融数据的机构，DPIA不是一劳永逸的文件而应是动态更新的制度。