德国汉堡某信贷催收服务商超法定保存期限5年未删除个人数据案（汉堡DPA，2024年11月）

【案件背景】
2024年11月，德国汉堡数据保护局对一家信贷催收服务商处以90万欧元罚款。该公司在债务催收业务中处理大量欠款人的个人数据（包括姓名、地址、身份证号、债务金额、还款状态等），在相关债务已完全清偿或法定保存期限届满后，仍然持续保存这些个人数据长达五年之久。德国民法典（BGB）和商法典（HGB）对各类商业数据的保存期限有明确规定——信贷催收领域中债务清偿后的数据保存期限通常为3年（自债务清偿当年年末起算），而该公司却在没有其他法律依据的情况下超期存储了5年。

【违法事实】
汉堡DPA调查确认以下违法事实：第一，违反GDPR第5条第1款(e)项（存储限制原则）——法定保存期限届满后，数据不再具有合法保存的依据，但该公司仍将其保留；第二，违反GDPR第17条（删除权/被遗忘权）——在多位数据主体正式提出删除请求后，该公司以"可能存在未查明的余债"为由拒绝删除，而这一理由并未被任何法律所支持；第三，在DPA调查期间，该公司未能提供任何有效的数据保留政策和定期删除审查机制的证明文件。DPA特别指出，催收行业处理的是债务相关的敏感数据，超期存储不仅侵害数据主体权利，更可能因为数据的"过期"状态导致不准确的负面信息被传播和滥用，对当事人的信用评估和社会生活造成持续损害。

【处罚决定】
汉堡DPA对该公司处以90万欧元罚款，并要求：立即删除所有超期存储的个人数据、建立自动化的数据保留期限管理系统（针对不同数据类型设置差异化的保存期限并到期自动触发删除）、制定并发布正式的数据保留和删除政策、每季度向DPA提交数据删除执行报告，持续两年。

【典型意义】
本案聚焦"数据保存期限"这一基础合规义务，但揭示了一个常见的"灰色操作"——企业以模糊的业务需求为由将已过期的数据"无限期滞留"。GDPR的存储限制原则的核心要求不是"你可以存多久"，而是"你必须在不需要时删除"。德国监管机构通过本案明确：逐案审查是必须的，自动化到期删除是基础要求。对各类企业的启示是：数据留存不是默认行为，超期留存的每一字节都是合规成本——建立数据生命周期自动化管理机制，远比事后被动删除更经济也更安全。