波兰mBank数据泄露后故意不通知受影响客户隐瞒事件被罚92.8万欧元案

【案件背景】
2022年，波兰mBank（波兰最大的零售银行之一）发生了一起客户数据泄露事件，涉及部分客户的个人信息被未经授权方获取。事件发生后，mBank选择不通知受影响的数据主体，理由是认为泄露的信息范围有限且风险较低，但这一判断被波兰数据保护机构否决。

【违法事实】
波兰个人数据保护办公室（UODO）调查认定：一是违反GDPR第34条的数据主体通知义务——mBank在数据泄露发生后自主评估认为无需通知受影响的客户，理由是泄露的数据不含密码等'高风险'信息。但UODO认定泄露的个人数据组合（姓名、PESEL编号、身份证号码、登记地址等）足以造成身份盗用、金融欺诈等实质性损害风险，构成了GDPR第34条所要求的'对自然人权利和自由造成高风险'的通知门槛；二是银行的风险评估方法论存在重大缺陷——mBank将风险阈值设定过高，仅将'密码泄露'等极端情况视为'高风险'，严重低估了身份信息组合泄露的现实危害；三是主动隐瞒直接剥夺了客户采取补救措施的权利——如果客户及时获知数据泄露，他们本可以冻结信用报告、更换身份证件、变更银行账户，但由于银行的故意隐瞒，客户丧失了防范损害的最佳窗口期；四是银行作为金融机构对客户负有更高的注意义务和诚信义务——mBank的行为构成对客户信任的根本性背叛。

【处罚决定】
UODO于2023年11月依据GDPR第34条和第58(2)(i)条，对mBank处以约92.8万欧元（约400万波兰兹罗提）的行政罚款。UODO在处罚声明中特别强调：罚款的目的不仅是惩罚，更是向所有数据控制者传递明确信号——'在是否通知数据主体的问题上，控制者不应充当法官'。同时命令mBank在30天内逐一向所有受影响客户发送数据泄露通知。

【典型意义】
mBank案是全球范围内极少数专门针对'未通知数据主体'这一行为进行处罚的案例。一是确立了数据控制者不得自行判断'风险不够高所以不需要通知'的权力边界——UODO明确指出控制者的自评估不能替代客观的风险判断，当存在疑问时应倾向于通知而非隐瞒；二是金融机构对客户的诚信义务高于普通商业企业——银行作为受高度监管和公众信任的机构，在数据泄露沟通中的透明义务尤为严格；三是'通知不足'可以构成独立的违法行为——即使数据泄露本身的过错可能较轻，但隐瞒行为是叠加在新违规之上的独立违法，可单独从重处罚。