比利时某电信运营商14个月未响应数据主体访问请求案（比利时APD，2024年8月/2025年1月罚款减至5000欧元）

【案件背景】
2024年8月，比利时数据保护局（APD）对一家电信运营商处以10万欧元罚款，原因是该运营商在2022年1月至2023年3月长达14个月的时间里未依法响应一名数据主体的访问请求（DSAR）。该案最早的起因是运营商在未经用户请求的情况下擅自修改了用户套餐，经通信调解专员介入后，该用户于2022年1月通过运营商的Messenger在线客服渠道提交了正式的数据主体访问请求，要求查看其个人数据的访问日志（包括访问日期、员工标识、访问目的等），因为他怀疑存在个人信息被不当查阅的情况。

【违法事实】
APD调查确认以下违法事实：第一，运营商违反了GDPR第12条第2款，未为数据主体行使权利提供便利——客服代表在收到请求后要求用户提供不必要的"澄清说明"，实质上增加了行使权利的障碍；第二，违反GDPR第12条第3款，以一个月的法定期限为基准，实际延迟了14个月才给出响应；第三，违反GDPR第15条，在延迟响应后声称"技术上无法生成此类访问日志"，但未能证明该主张；第四，运营商未将请求转交数据保护官（DPO），也未告知用户任何关于延迟的原因。APD认定这是持续性违规行为，持续了整整14个月。运营商最终在APD法律程序启动后才给出了回复。2025年1月，比利时市场法院复审后确认违规成立，但将罚款从10万欧元减至5000欧元，理由是"该事件属于孤立事件、无故意意图、公司事后已采取整改措施"。

【处罚决定】
比利时市场法院最终裁定维持GDPR违规认定，罚款5000欧元。罚款金额的大幅削减并不改变违规事实的核心认定——APD和市场法院均确认该运营商在14个月内持续侵犯了数据主体的访问权。运营商被要求补建数据访问日志功能，并制定清晰的DSAR响应SOP。

【典型意义】
本案罚款从10万欧元大幅削减至5000欧元，并非因为违规不严重，而是因为法院认定该事件属于"孤立事件"而非"系统性缺陷"。这恰恰为所有企业敲响警钟：如果DSAR处理不力不是一个孤立事件而是系统性故障（如前述卢森堡信贷机构的47起投诉），罚款将远不止几千欧元。此外,"技术上无法实现"作为拒绝访问请求的抗辩理由，在监管和司法审查下极为脆弱——企业必须能够证明其确实无法实现，并已在合理范围内尽了一切努力。