WhatsApp因未充分告知与Facebook的数据共享被爱尔兰DPC罚款2.25亿欧元案（2021年9月）

【案件背景】
WhatsApp于2014年被Facebook（现Meta）以190亿美元收购后面临核心的商业矛盾：WhatsApp一直以端到端加密和无广告为品牌承诺，而母公司Facebook的商业模式高度依赖用户数据的商业利用。2016年8月，WhatsApp宣布更新其服务条款和隐私政策，首次明确将WhatsApp用户数据（包括手机号码、设备信息、使用分析数据）与Facebook集团共享，用于“改善基础设施和投放系统、了解服务使用情况、打击垃圾信息、提供朋友建议和更相关广告”。该更新引发全球范围内的用户反弹和监管关注。欧盟层面，德国汉堡DPA率先发布紧急禁令，阻止WhatsApp共享德国用户数据。2021年9月，经过三年调查，DPC对WhatsApp作出2.25亿欧元罚款。

【违法事实】
经调查查明：
（1）WhatsApp在隐私政策中未充分告知用户其个人信息将以何种方式与Facebook集团其他公司共享。政策语言使用了大量模糊、笼统的表述，使用了多层嵌套的跳转链接和长达数千字的政策文本，导致普通用户难以理解其数据的流向和使用方式。例如，关于“Facebook公司如何使用您的信息”的完整说明需要跳转4个不同的政策页面才能获取，且在不同页面上使用了不一致的术语。
（2）WhatsApp在2018年5月GDPR生效后对其隐私政策进行了多轮更新，但每次更新后用户面临“要么接受新的数据共享条款、要么停止使用WhatsApp”的选择，实际上是以胁迫方式获取的“同意”，不符合GDPR下自由给予（freely given）同意的要求。
（3）WhatsApp收集了用户的设备硬件信息、操作系统版本、电池电量、信号强度、附近的Wi-Fi接入点、移动网络信息等设备级数据，并将其共享给Facebook用于广告优化和用户画像。WhatsApp声称这些数据属于“分析数据”而非“个人数据”，但DPC认定这些数据结合手机号码即可唯一识别用户，属于个人数据，其共享需要符合GDPR的要求。
（4）WhatsApp与Facebook之间的数据共享协议中，双方的角色定位（控制者vs处理者）不清晰。WhatsApp声称自己是独立的控制者，Facebook声称其仅为WhatsApp提供技术基础设施（处理者），但实际上Facebook对共享数据享有广泛的使用权限，包括用于自身产品和服务的改进。
（5）DPC发现，WhatsApp在2018年GDPR生效后至2019年间，在提供透明度信息方面存在多个系统性缺陷：未告知用户其个人数据将被传输至美国等第三国；未提供数据接收方（Facebook Inc.）的身份和联系方式；未说明个人数据的保存期限；未告知用户其享有的GDPR权利。

【处罚决定】
2021年9月2日，DPC作出决定：
（一）认定WhatsApp违反GDPR第5(1)(a)条（透明性原则）、第12条（透明度义务）、第13条（从数据主体收集时应提供的信息）、第14条（从第三方收集时应提供的信息）；
（二）处2.25亿欧元行政罚款。
（三）责令WhatsApp在6个月内整改，使其数据处理行为符合GDPR透明度要求。
该罚款是在EDPB介入后提高的。DPC最初提议的罚款金额为3000万至5000万欧元，但在8个欧盟CSA提出异议后，EDPB在其决定中要求大幅提高罚款金额。

【典型意义】
本案是全球范围内因数据共享透明度缺失而产生的最高额罚款之一，具有里程碑意义：
第一，本案对GDPR下“透明度”要求作出了极高的标准设定。DPC明确指出，在多层次、多实体的数据共享架构中，仅提供笼统的说明不足以满足透明度要求，企业必须提供“具体、清晰、易于理解、且易于获取”的信息。
第二，本案首次对“多层次隐私政策”的做法提出了严厉批评。通过嵌套链接和分散在不同页面的政策说明来规避透明义务的做法，被认定为违反GDPR。
第三，本案揭示了大型科技平台在收购后“悄悄”改变数据共享政策的监管风险。WhatsApp收购前的品牌承诺（端到端加密、无广告）与收购后向母公司共享数据的行为之间的矛盾，构成消费者信心和法律合规的双重挑战。
第四，本案展示了EDPB在跨境执法中的“罚款强化”作用——从DPC最初提议的数千万欧元提高到最终2.25亿欧元，凸显了“一站式机制”中对牵头监管机构不作为的制度性约束。