卢森堡某信贷机构47起数据主体访问请求（DSAR）系统性逾期未响应案（卢森堡CNPD，2025年1月）

【案件背景】
2025年1月6日，卢森堡国家数据保护委员会（CNPD）对一家卢森堡信贷机构（化名"Société A"）处以17.5万欧元罚款，原因为该机构在2018年至2022年间系统性未能响应47起经验证的数据主体访问请求（DSAR）。这47起投诉来自欧洲经济区（EEA）多个国家的个人，他们均通过该信贷机构的官方网站提交了GDPR第15条至第22条的权利请求。CNPD的调查揭示了一个令人震惊的管理漏洞——该机构数据保护官（DPO）的专用邮箱长期错误配置，将DSAR请求自动归入垃圾邮件。

【违法事实】
CNPD调查发现该信贷机构存在以下严重问题：第一，违反GDPR第12条第3款，47起经验证的DSAR请求均未在一个月法定期限内得到响应——有些请求已逾期数月甚至超过一年；第二，在未能在期限内响应的情况下，该机构也未按照GDPR第12条第4款的要求通知申请人延期及延期原因；第三，DPO邮箱的垃圾邮件过滤配置错误——该问题在被CNPD介入前已持续超过一年未被发现；第四，面对投诉数量持续增长，该机构既未采取纠正措施，也未主动排查DSAR处理流程的问题。CNPD特别指出：尽管该机构后来实施了改进程序，但这些补救措施来得太迟，不能减轻其原本的违规责任。

【处罚决定】
CNPD对该信贷机构处以17.5万欧元罚款，并予以正式谴责（reprimand）。裁决强调，即使没有故意违法的主观意图，一家大型受监管实体在处理DSAR时的疏忽同样应当受到处罚。该机构被要求立即修复DPO邮箱配置、建立DSAR跟踪和SLA监控系统、对所有逾期未响应的请求在30天内完成补响应。

【典型意义】
本案以"技术小错误引发大合规危机"的典型路径警告所有企业：一个邮箱的垃圾邮件过滤设置，就能导致47起权利请求石沉大海、数十名用户投诉至监管机构、最终招致六位数欧元罚款。GDPR合规不是一份静态的政策文档，而是一套持续运转的运营体系。企业必须建立DSAR的"端到端"处理SOP：收到→确认→分类→处理→响应→归档，任何一个环节的断裂都会导致整个合规体系的崩塌。定期测试DSAR提交渠道的可用性是基础中的基础。