英国ICO因某在线教育平台大规模处理儿童数据但未任命DPO而发出正式执法通知案

【案件背景】
2023年，英国ICO对某拥有超过100万英国学生的在线教育平台展开调查，发现该平台的核心活动涉及大规模处理儿童（18岁以下）的个人数据——包括学习行为记录、成绩、个人评估等。根据UK GDPR第37(1)(c)条，核心活动涉及大规模处理特殊类别数据或与刑事定罪相关数据的控制者必须任命DPO。

【违法事实】
处理儿童的学业成绩、行为评估等数据可能构成特殊类别数据的处理（如果涉及健康、特殊教育需求等），且儿童数据本身即享有更高的保护标准。在线教育平台作为'以处理数据为核心活动'的企业，同时满足'大规模'和'特殊数据'两项DPO触发条件，却未任命DPO。

【处罚决定】
ICO发出正式执法通知（Enforcement Notice），要求在45天内任命符合条件的DPO，否则将面临进一步的处罚。

【典型意义】
一是在线教育平台作为处理儿童数据的主体属于DPO任命的'必选'而非'可选'企业；二是ICO采用了'执法通知+后续跟进'的阶梯式执法策略。