西班牙CaixaBank未经同意将客户数据用于商业画像并超范围长期存储案

【案件背景】
2021年，西班牙数据保护局（AEPD）在对CaixaBank的调查中发现，该银行在未获得客户有效同意的情况下，收集并长期存储了大量客户个人数据，用于商业画像和精准营销目的，违反了GDPR的数据最小化和存储限制原则。

【违法事实】
一是银行收集的个人数据远超提供金融服务所必需的范围——在处理贷款申请、信用卡发放等基本业务时，同时收集了客户的房地产持有情况、车辆登记信息、国籍、家庭收入水平等广泛信息，并在内部商业智能系统中长期存储；二是未按GDPR第5(1)(c)条的数据最小化原则限制数据收集和存储——银行不能以'可能对未来的商业决策有用'为由过度收集和存储客户数据；三是缺乏个人数据保留期限和删除政策——银行未能提供任何书面的数据存储期限政策，也无法证明定期审查和删除不再需要的数据；四是信息处理透明度不足——隐私声明模糊笼统，未就数据存储的具体类型、用途和期限提供清晰告知。

【处罚决定】
西班牙AEPD于2021年3月依据GDPR第5(1)(c)条、第6条和第13条，对CaixaBank处以600万欧元行政罚款，同时要求全面修订数据治理框架，建立数据分级分类存储机制并制定各类型个人数据的具体保留期限表。

【典型意义】
一是'商业价值'不能作为数据过度收集和长期存储的正当理由——GDPR下的数据收集必须服务于'特定、明确、合法'的目的；二是银行审慎监管的广泛信息收集义务与个人信息保护之间存在明确边界；三是缺乏成文的数据保留政策本身即构成独立的违规。