意大利Garante对某医疗集团DPO未参与数据处理前的DPIA审查流程处以罚款案

【案件背景】
2021年，意大利Garante在对某大型医疗集团的调查中发现，该集团虽任命了DPO，但DPO系统性地被排除在数据处理活动决策流程之外。集团在进行多个高风险的数据处理项目（包括患者基因数据的共享和AI辅助诊断）的DPIA（数据保护影响评估）时，从未征询DPO的意见。

【违法事实】
GDPR第39条规定DPO的核心职责包括对数据保护影响评估（DPIA）提供建议和监控其执行。在医疗数据处理这类GDPR第35条明确规定需要进行DPIA的高风险场景中，DPO的参与是法定的强制要求，不是可选项。将DPO排除在DPIA流程之外违反了GDPR的实质要求。

【处罚决定】
Garante处以200万欧元罚款，要求建立必须经DPO审查的DPIA触发和审批流程。

【典型意义】
一是任命DPO却不让其参与高风险处理的DPIA流程是'买了保险但从不理赔'式的形式合规；二是DPO在DPIA中的角色不是'签字人'而是'把关人'。