Meta（爱尔兰）因其子公司之间个人数据共享缺少合法依据被爱尔兰DPC罚款3.9亿欧元案（2023年1月）

【案件背景】
Meta Platforms Ireland Limited（以下简称“Meta爱尔兰”）是Meta集团（原Facebook）在欧盟的主要运营实体，负责Facebook和Instagram在欧盟区的服务提供和数据处理。2018年5月25日GDPR生效当日，Meta爱尔兰修改了Facebook和Instagram的服务条款，将处理个人数据的法律依据从用户同意（GDPR第6(1)(a)条）变更为合同必要性（GDPR第6(1)(b)条），并声称为了向用户提供“个性化服务（包括个性化广告）”，需要在Facebook、Instagram和WhatsApp等关联公司之间共享用户数据。
2023年1月，经过长达四年半的调查，爱尔兰数据保护委员会（DPC）在欧洲数据保护委员会（EDPB）的约束力决定下，对Meta爱尔兰作出两项合计3.9亿欧元的天价罚款。其中与Facebook关联公司数据共享相关的罚款为2.1亿欧元，与Instagram的类似违规相关的罚款为1.8亿欧元。

【违法事实】
经调查查明：
（1）Meta爱尔兰将处理个人数据的法律依据从“同意”变更为“合同必要性”，但通过数据分析发现，用户注册Facebook和Instagram的核心目的是社交，提供个性化广告和关联公司之间的数据共享并非履行服务合同所必需。DPC认为Meta爱尔兰的“合同必要性”主张构成了对GDPR第6(1)(b)条的错误适用，其行为实质上是以“要么接受、要么离开”的方式将个性化广告和跨平台数据共享强加于用户。
（2）Meta爱尔兰在数据共享方面存在三重违规：①在Facebook与旗下其他服务（WhatsApp、Instagram、Messenger等）之间共享用户数据时，将“合同必要性”作为唯一法律依据，未向用户提供有效同意机制；②在隐私政策中未以清晰、透明的方式向用户说明其数据在Meta集团各实体间的共享方式和范围；③未落实“数据最小化”原则，在跨平台共享中转移的数据量远超提供核心服务所必需。
（3）DPC在调查中还发现，Meta爱尔兰在集团内部的数据共享架构涉及多个实体（包括Meta Platforms Inc. 美国总部、WhatsApp Ireland、Facebook Payments International等），各实体之间的数据处理角色定位模糊，共享链路复杂且难以被用户理解和监督。
（4）本案的处罚决定经历了复杂的跨境执法协调程序。DPC作为牵头监管机构，其初步决定草案因被其他欧盟成员国的数据保护机构（CSA）提出异议而提交EDPB作出约束力决定。EDPB在其决定中明确要求DPC将“数据处理的法律依据合规性”纳入调查范围（DPC最初仅关注透明度和数据最小化问题），并增加了罚款金额。

【处罚决定】
2023年1月4日，DPC依据EDPB第3/2022号和第4/2022号约束力决定作出以下最终决定：
（一）认定Meta爱尔兰违反GDPR第5(1)(a)条（合法性、公平性和透明性原则）、第5(1)(c)条（数据最小化原则）、第6(1)条（处理合法性）和第12条（透明度义务）；
（二）对Facebook相关的违规行为处2.1亿欧元行政罚款；
（三）对Instagram相关的违规行为处1.8亿欧元行政罚款；
（四）责令Meta爱尔兰在3个月内将其在欧盟区的数据处理法律依据修改为符合GDPR要求。

【典型意义】
本案是GDPR实施以来关于集团内部数据共享合法依据的标志性案例，也是EDPB约束力决定机制的重要实践：
第一，本案对“合同必要性”作为数据处理法律依据的适用范围进行了严格限缩。DPC/EDPB明确指出：个性化广告和跨平台数据共享不能以“合同必要性”为法律依据——这对依赖广告收入的科技巨头的商业模式产生了重大冲击。
第二，本案揭示了一个普遍问题：大型科技集团内部的数据共享往往以“集团内必要运营”为合法化外衣，掩盖了实质上的商业目的数据处理。本案的判决要求集团内部共享同样须有独立的法律依据和充分的透明度。
第三，本案展示了GDPR“一站式机制”（One-Stop-Shop）下的跨境执法动力：即使牵头监管机构（DPC）的态度相对温和，其他成员国的异议和EDPB的介入可以推动更严厉的执法结果。
第四，本案3.9亿欧元的罚款金额彰显了对系统性、持续性违规行为的重罚趋势，特别是在涉及数亿用户的场景下。