比利时数据保护局对某大型电信运营商DPO兼任多职且利益冲突严重处5万欧元罚款案

【案件背景】
2020年4月，比利时APD对一家拥有数千名员工的大型电信运营商处以5万欧元罚款，原因是其任命的DPO同时担任公司的审计、风险和合规部门主管——这两类职务在利益上直接冲突。

【违法事实】
GDPR第38(6)条允许DPO承担其他任务和职责，但要求这些任务和职责不得导致利益冲突。作为审计、风险和合规部门主管的职责是'确保公司效率和风险控制'，而DPO的职责是'确保个人数据受到保护'——在资源分配、制度设计等关键决策上，这两个角色有本质性的利益冲突。如果DPO在与公司最高管理层的会议中同时是'成本和效率的守护者'和'隐私的守护者'，后者几乎总是输家。

【处罚决定】
处罚5万欧元，要求重新任命一个不存在利益冲突的独立DPO。

【典型意义】
一是明确列举了与DPO职责相冲突的具体职务类型——审计、风险管理、IT安全、法务、HR等核心管理岗位与DPO天然存在冲突；二是虽然罚款金额不大，但为全行业DPO职务设计提供了负面清单参考。