德国电信子公司T-Mobile因委托第三方信用评级机构处理客户数据但未签订数据处理协议被BfDI罚款4800万欧元案（2019年）

【案件背景】
T-Mobile Deutschland GmbH（德国电信子公司，以下简称“T-Mobile”）是德国三大移动通信运营商之一，拥有数千万用户。在移动通信服务开通前，T-Mobile需要评估新客户的信用风险以决定是否提供服务以及要求的押金额度。为此，T-Mobile将潜在和现有客户的个人信息（包括姓名、出生日期、地址、银行账户信息）委托给Schufa（德国最大的信用评级机构）及其他多家信用评级和欺诈检测服务商进行信用评分和身份验证。德国BfDI在2018-2019年的专项行动中发现T-Mobile存在严重的委托处理合规缺陷。

【违法事实】
经调查查明：
（1）T-Mobile在将客户数据传输给外部信用评级机构时，与多家受托方之间没有任何书面的数据处理协议（DPA），也缺乏任何关于处理目的、数据类别、安全措施、删除义务等的书面约定。这直接违反了GDPR第28条对委托处理协议的强制性要求。
（2）对于已有书面协议的几家受托方，协议内容严重不完整。例如，与某征信机构的数据处理协议中，未明确约定个人数据的类型和数据主体的类别；未规定受托方在合同终止后应删除或返还数据；未要求受托方对员工实施保密义务；未规定受托方须协助T-Mobile履行对数据主体的权利请求响应义务。
（3）T-Mobile的呼叫中心系统设计中，要求客服人员在电话呼入时自动将客户的个人信息传输到信用评估系统进行实时查询。该自动传输行为发生在客服代表与客户正式对话开始之前——即T-Mobile在尚未与客户建立明确的合同意向关系时就已经查询了客户的信用数据，不符合“合同前措施”的正当性基础。
（4）T-Mobile在与信用评级机构的委托处理安排中，未实施数据最小化原则：传输的数据包括客户的完整档案信息（姓名、所有历史地址、所有关联电话号码、银行账户完整信息），远超信用评估所需的必要信息范围。
（5）T-Mobile未设立数据处理活动的记录（GDPR第30条要求的处理活动记录RoPA），无法向BfDI提供其将何种数据委托给哪些处理者、以何种目的处理的完整记录，严重违反了GDPR的问责原则。

【处罚决定】
2019年12月，BfDI作出以下决定：
（一）认定T-Mobile违反GDPR第5(1)(a)条、第5(1)(c)条、第6条、第28条和第30条；
（二）处4800万欧元行政罚款；
（三）责令T-Mobile：与所有受托方签订符合GDPR第28条要求的完整数据处理协议；建立并维护处理活动记录（RoPA）；对委托处理的传输数据进行最小化配置；对所有数据处理协议实施年度合规审计。

【典型意义】
本案是GDPR实施以来因委托处理协议的缺失或不完善而处以的最高额罚款之一，具有强烈的警示意义：
第一，GDPR第28条对委托处理协议的要求不是“建议”而是“强制性义务”。没有任何书面DPA本身就是严重的违规，罚款金额可达上一财年全球年营业额的2%或1000万欧元（取较高者）。
第二，本案揭示了通信、金融等依赖大量外部服务商的行业中普遍存在的“默认委托”问题。企业在运营中不自觉地将客户数据提供给各种外部服务商，但未意识到这构成了法律意义上的委托处理，从而忽视了签订DPA的法律义务。
第三，DPA的内容必须完整且具体，不满足于形式上的签约。GDPR第28(3)条列明的9项强制性内容缺一不可，且必须是实质性的约定而非空洞的模板条款。
第四，处理活动记录（RoPA）是委托处理合规的基础设施——没有完整的记录，企业自身无法管理和证明其委托处理的合规状况。