英国某养老院Director故意阻止数据主体访问请求被刑事定罪案（英国ICO，2025年9月）

【案件背景】
2025年9月3日，英国贝弗利治安法院对一名养老院Director（负责人）作出刑事定罪判决，这是英国《2018年数据保护法》（DPA 2018）第173条生效以来首例因个人故意阻挠数据主体访问请求（DSAR）而被刑事定罪的案件。英国信息专员办公室（ICO）调查负责人Andy Curry强调："我们将主体访问请求描述为一项基本权利。这是因为它帮助人们理解组织如何以及为何使用他们的信息。我们希望这次成功的起诉提醒所有组织，数据保护法适用于每一个人，主体访问请求必须得到合法和负责任的回应。"

【违法事实】
法院认定该养老院Director存在以下违法行为：第一，在收到一名个人（推测为养老院住户或家属）的DSAR请求后，故意更改、毁损、屏蔽、删除或隐藏了部分本应依法向请求人披露的信息，违反了DPA 2018第173条——该条明确将"以阻止披露全部或部分请求人有权获得的信息为目的，更改、毁损、屏蔽、删除或隐藏信息"的行为规定为刑事犯罪；第二，该Director未对ICO的调查通知作出回应，试图以推卸责任给养老院经理的方式脱责；第三，该公司此前已注销ICO的数据控制者注册——而这是法律规定的强制性义务。ICO指出，虽然多数DSAR违规通常作为民事事项处理，但本案中存在明显的故意阻挠行为，已达到刑事追诉门槛。

【处罚决定】
贝弗利治安法院裁定该Director罪名成立，判处1100英镑罚金，并需承担5440英镑诉讼费用，合计6540英镑。虽然金额不算巨大，但刑事定罪的记录意味着该Director将留下犯罪记录，对其职业生涯和名誉造成永久性影响。ICO同时责令该养老院限期完成数据保护合规整改，包括重新向ICO注册、建立合规的DSAR处理流程。

【典型意义】
本案是DPA 2018第173条的首例刑事定罪，标志着数据保护执法从"行政罚款"向"个人刑事责任"的质变。这传递了一个清晰的信号：故意破坏、隐藏或删除本应响应DSAR的信息，不是"管理失误"而是"犯罪行为"。对于企业的管理者和DPO而言，这一判决意味着刑事风险是真实的——当面对DSAR时，"不配合""拖延""销毁"不仅是合规问题，更可能构成犯罪。这大大提升了数据保护合规在企业风险管理体系中的优先级。