意大利Eni能源公司客户数据存储安全措施不足被GDPR罚款案

【案件背景】
2020年，意大利数据保护局（Garante）对能源巨头Eni进行调查后发现，该公司在电力和天然气客户数据的存储和管理方面存在多项违反GDPR安全要求的缺陷。

【违法事实】
一是Eni存储的海量客户数据（包括姓名、税号、联系方式、消费记录和银行账户信息）的访问控制措施不充分，未实施基于角色的细粒度权限管理；二是数据存储系统的日志记录不完整——无法追溯谁在何时访问了哪些客户数据，违反了GDPR第30条关于处理活动记录的要求；三是未对客户数据进行分级分类存储——所有客户数据使用同一安全级别，未区分公开信息、一般个人信息和敏感金融信息的不同保护需求；四是缺乏数据生命周期管理——历史客户（已停止服务超过10年的用户）的完整数据依然保留在生产系统中。

【处罚决定】
意大利Garante依据GDPR第32条，对Eni处以1150万欧元罚款，要求实施全面的数据存储安全升级和分级分类管理。

【典型意义】
一是能源行业作为关键基础设施运营者，客户数据的存储安全标准应参照最高级别；二是缺乏分级分类的数据存储管理等同于将所有数据暴露于同一风险水平；三是超长期的客户数据保留将企业置于持续扩大的合规风险中——数据越多、越旧、越不分类，泄露风险越高。