西班牙OK MOBILITY GROUP未响应数据主体访问请求且隐私政策未载明数据保留期限案（西班牙AEPD，2024年12月）

【案件背景】
2024年12月10日，西班牙数据保护局（AEPD）公布了对OK MOBILITY GROUP, S.L.U.的处罚决定，该公司因违反GDPR被处以10万欧元罚款（后因自愿缴纳减至6万欧元）。2023年5月，德国巴登-符腾堡州数据保护局收到一名个人投诉：该投诉人此前通过OK MOBILITY租用车辆，合同以德语签署、服务面向德国客户。投诉人向OK MOBILITY提交了数据主体访问请求（要求了解其个人数据的使用情况）以及确认收到的请求，但OK MOBILITY完全未予回应。由于OK MOBILITY的注册地在西班牙，案件被移送至AEPD处理。

【违法事实】
AEPD调查确认OK MOBILITY存在以下违规行为：第一，违反GDPR第15条（数据主体访问权），对投诉人的访问请求未给予任何形式的回应——既未提供所请求的数据副本，也未说明拒绝或延迟的原因；第二，违反GDPR第5条第1款(e)项（存储限制原则），该公司网站隐私政策未载明具体的数据保留期限，仅笼统表述为"在业务需要期间保留数据"；第三，违反GDPR第13条（信息告知义务），隐私政策未向用户提供关于数据保留标准的充分信息。关于"投诉以德语提交"是否构成沟通障碍的争议，AEPD明确表示语言不构成拒绝请求的理由——合同以德语签署、且公司向德国客户提供服务，表明该公司有能力处理德语通信。

【处罚决定】
AEPD对OK MOBILITY处以10万欧元罚款（因自愿缴纳减至6万欧元），并责令其在30天内：补充隐私政策中的具体数据保留期限；建立多语种DSAR处理流程（至少覆盖其服务市场的主要语言）；对本案投诉人提供完整的访问请求响应。

【典型意义】
本案在两方面具有指导价值：其一，关于"语言障碍"能否成为不响应DSAR的合理借口——AEPD明确否定了这一点，当企业主动选择以某种语言向某国客户提供服务时，即表明其具有该语言的处理能力，不能事后以语言为由推卸权利保障义务；其二，隐私政策中"数据保留期限"的表述不得使用模糊泛化的措辞，必须针对不同数据类型明确具体的保留时间或保留标准。"在业务需要期间"等模糊表述在监管眼中等同于未予说明。对于出海欧洲的中国企业，不同成员国客户使用不同的语言请求行使权利时，应当建立相应的多语种支持能力。