爱尔兰银行未能验证数据泄露是否在72小时内通知DPC被罚46.3万欧元案

【案件背景】
2021年至2022年期间，爱尔兰银行（Bank of Ireland）发生了多起涉及客户个人数据的数据泄露事件，但在多起事件中未能遵守GDPR第33条规定的'72小时内通知监管机构'的强制性时限要求。爱尔兰数据保护委员会（DPC）在调查中发现了系统性的通知迟延问题。

【违法事实】
爱尔兰DPC调查发现爱尔兰银行存在以下系统性违规：一是多起数据泄露事件的通知均超过72小时法定时限——在一次涉及客户银行卡被非法克隆使用的事件中，银行于2021年12月发现泄露，但延迟至2022年1月才通知DPC，远超GDPR第33条规定的72小时（日历日）报告时限；二是银行的内部事件发现与上报流程存在结构性缺陷——银行内部缺乏清晰的数据泄露识别和升级路径，分支行/业务部门发现异常后向合规团队的流转链条过长，导致'发现泄露的钟'已敲响但合规团队在数周后才'听到'；三是银行未建立有效的72小时计时机制——GDPR第33条的72小时从'知悉'（become aware）泄露时起算，但银行无法准确确认多位一线员工在不同时间知悉泄露的准确时间，说明其内部事件记录和管理流程存在根本缺陷；四是在多次事件中重复出现相同的迟延报告问题——DPC强调'这不是一次性的技术失误，而是系统性的流程缺陷'。

【处罚决定】
爱尔兰DPC于2023年依据GDPR第33条和第58(2)(i)条，对爱尔兰银行处以46.3万欧元的行政罚款。同时命令银行在3个月内完成对内部数据泄露识别、记录、评估、通知全流程的系统化重构，并接受DPC的监督审计。

【典型意义】
爱尔兰银行案是全球GDPR执法中少数专门聚焦'72小时报告时限'这一单一违规类型的案例。一是72小时不是'工作日72小时'而是'日历日72小时'——节假日、周末、内部审批流程均不构成为延迟报告的抗辩事由；二是'知悉'时点的判断标准是客观的——只要组织内有任何合理人员知道了足以认识到可能发生数据泄露的事实，72小时即开始计时，不因信息未传递到合规部门而暂停；三是重复违规是严重的加重因素——DPC将银行在多起事件中反复出现相同问题定性为'系统性缺陷'而非孤立事件，大幅提高了处罚的严厉程度；四是本案推动了金融机构系统化重构内部事件升级和报告流程。