Netflix未充分告知客户数据处理方式案

【案件背景】
2024年12月18日，荷兰数据保护局（Autoriteit Persoonsgegevens, AP）公布了对全球流媒体平台Netflix的处罚决定，处以475万欧元罚款。该调查自2019年启动，源于奥地利隐私组织None of Your Business（NOYB）代表用户提出的投诉。Netflix的欧洲、中东和非洲业务总部设在阿姆斯特丹，因此由荷兰DPA行使监管管辖权。荷兰DPA主席Aleid Wolfsen在声明中指出，一家营业额数十亿的公司必须向客户清楚解释其如何处理个人数据。

【违法事实】
调查覆盖了Netflix在2018年至2020年期间的行为，荷兰DPA认定Netflix在以下多方面未能履行GDPR规定的透明度义务（违反第5条第1款a项、第12条、第13条和第14条）：
1. 隐私声明未清楚说明数据处理目的和法律依据：Netflix收集用户的电子邮件地址、电话号码、支付信息、观看历史记录（包括观看内容和具体时间戳）等多种个人数据，但其隐私声明未能以清晰易懂的语言说明这些数据分别基于何种法律依据被收集、用于何种具体目的；
2. 未充分披露数据接收方信息：隐私声明中关于与第三方共享数据的信息（包括与哪些第三方共享、共享哪些类型数据、共享目的）不够具体明确；
3. 数据存储期限信息缺失：隐私声明未向用户说明不同类型个人数据的存储期限或用于确定存储期限的标准；
4. 向欧洲经济区外传输数据的安全保障措施交代不清：Netflix将部分用户数据传输至欧洲以外地区（包括美国），但未在隐私声明中充分说明采取了哪些符合GDPR要求的保障措施；
5. 数据访问请求回复不充分：当用户依据GDPR第15条行使数据主体访问权，要求Netflix告知其收集了哪些个人数据时，Netflix提供的信息不够全面和完整。

【处罚决定】
行政罚款475万欧元。Netflix在调查期间已主动更新了隐私声明并改进了信息提供方式，因此未附加额外的合规令。NOYB批评调查过程冗长：在一个简单明了的案件中，花了近五年时间才做出决定。

【典型意义】
本案是专注于GDPR透明度义务的标杆性案例。与很多涉及大规模数据泄露或非法处理的案件不同，Netflix的违规不在于做了什么，而在于没有说清楚。核心原则：GDPR要求的透明度不仅是形式上的——公布一份隐私政策不等于履行了透明度义务；隐私声明必须实质上清晰、具体、全面：目的要具体、第三方接收者要指名、存储期限要明确、法律依据要一一对应。