芬兰邮政Posti未经明确同意自动创建电子邮箱并捆绑服务案

【案件背景】
2024年11月13日，芬兰数据保护局（Finnish DPA）对芬兰国家邮政服务提供商Posti作出行政处罚决定，处以240万欧元行政罚款——这是自GDPR生效以来芬兰开出的最高行政罚款。案件起源于Posti在OmaPosti电子服务平台中，未经客户主动请求即自动为所有客户创建电子邮箱，并将该邮箱与其他电子服务强制捆绑。芬兰DPA的调查发现，Posti在多项数据处理操作中缺乏合法的处理基础，且未能充分通知客户其数据处理活动。

【违法事实】
芬兰DPA认定Posti存在以下违反GDPR的行为：
1. 未经明确同意自动创建电子邮箱：Posti在未经客户主动请求或明确同意的情况下，自动为所有客户创建了OmaPosti电子邮箱，并将该邮箱与客户已请求的其他电子服务捆绑在同一合同下。客户无法单独选择不使用电子邮箱——停用邮箱将同时导致无法使用其他已请求的服务。DPA认为，技术上完全可以不自动创建邮箱而提供客户请求的服务。
2. 通知义务履行不足：Posti未能向客户清晰告知其电子邮箱已被激活的情况，客户在收到相关通知时无法了解其个人数据正在被处理的具体范围和目的。
3. 技术设置不当——自动激活和预勾选：Posti的电子服务中包含自动激活的选择功能和预勾选的复选框，这些技术设置在DPA看来与数据保护要求不一致，剥夺了用户的自主选择权。
4. DPA认定，Posti违反GDPR的行为包括：缺少有效的数据处理法律基础（GDPR第6条）、未能充分通知客户（GDPR第13条）、以及数据保护默认设计原则的违反（GDPR第25条）。

【处罚决定】
1. 行政罚款240万欧元；
2. 发出正式谴责（Reprimand）及纠正令，要求Posti纠正其非法处理行为，确保电子服务从一开始就仅处理必要的个人数据。
（注：2025年12月，芬兰行政法院在后续审理中，就Posti处理个人数据是否具有合法基础这一问题上推翻了DPA的认定——法院认为Posti有权依据合同自由原则捆绑其电子服务，因此撤销了行政罚款。但法院维持了DPA关于通知不足的认定以及纠正令和谴责。）

【典型意义】
尽管罚款在司法审查中被撤销，本案在「同意作为数据处理合法基础」领域的讨论价值仍然极高。第一，「默认同意」不能被包装为「合同必需」——即便服务提供商可以为商业目的捆绑服务，也不能以「默示同意」的方式扩展个人数据的处理范围；第二，预勾选框、自动激活功能等默认设置本身即构成违反GDPR的数据保护默认设计原则；第三，透明度的要求是独立的——即使处理有合法基础，通知义务也必须充分履行，用户有权清晰了解其数据如何处理。本案是公共事业领域（邮政）数据合规的标杆案例。