某医疗大数据企业被查出DPO仅挂名从不参与数据合规决策也未向管理层直接汇报案

【案件背景】
2024年10月，卫健委在对医疗数据企业专项检查中发现某医疗大数据企业虽在向监管报送的文件中列明了一名DPO，但该DPO实际是公司行政部的一名普通职员，从未参与过任何数据处理活动的决策或合规审查。DPO在组织架构上向行政总监汇报，无法直接接触到CEO或董事会。

【违法事实】
一是'纸面DPO'是对DPO制度的实质架空——DPO不仅是报备一个人名，而是需要在组织中实际行使数据保护监督职能；二是DPO未被纳入关键决策流程——涉及敏感医疗数据的新产品上线、数据共享协议签署等重大数据处理活动均未经过DPO审核；三是汇报线路过低使DPO无法独立履行监督职责。

【处罚决定】
卫健委联合网信办处以300万元罚款，要求重构DPO的职责权限和汇报线路，确保DPO直接向最高管理层汇报并参与重大数据处理决策。

【典型意义】
一是'影子DPO'比无DPO更危险——因为制造了合规的假象；二是DPO的汇报线必须直通最高管理层以确保独立性。