Meta Ireland因Facebook/Instagram隐私通知未能清晰链接数据类型与处理目的、违反透明度义务被罚3.9亿欧元案（爱尔兰DPC，2022年12月）

【案件背景】
2018年5月GDPR生效前夕，Meta Ireland变更了Facebook和Instagram的服务条款，将行为广告的数据处理法律基础从'用户同意'（第6条第1款a项）改为'履行合同所必需'（第6条第1款b项），要求用户接受更新后的条款才能继续使用服务。两名分别来自奥地利和比利时的数据主体于2018年5月25日投诉Meta此举违反GDPR。爱尔兰DPC就此启动调查，审查Meta在转变法律基础过程中是否履行了透明度义务。

【违法事实】
爱尔兰DPC经调查认定Meta的隐私通知存在系统性缺陷：（1）Meta的隐私政策以'分层'格式提供，但在各层文档之间设置了循环引用和互相跳转的超链接，使数据主体难以确定是否已穷尽所有信息来源，DPC评价其呈现方式'circular and disjointed'——循环且支离；（2）隐私通知以笼统的抽象清单方式罗列所有可能收集的个人数据类型、所有处理目的和所有法律基础，但未在三者之间建立清晰映射关系（即：哪类数据→用于何种处理→依据哪项法律基础），违反了GDPR第13条第1款c项要求，DPC明确指出'目的和法律基础不能仅以抽象方式列举，必须与所涉的个人数据处理建立关联'；（3）大量使用'诸如'（such as）和'类似'（things like）等开放式措辞描述处理活动，使用户无法准确理解其个人数据的具体处理范围。基于上述事实，Meta违反了GDPR第12条第1款（透明性要求）和第13条第1款c项（信息告知义务），同时构成对GDPR第5条第1款a项（公平、透明处理原则）的违反。

【处罚决定】
经欧盟数据保护委员会（EDPB）在第65条争议解决程序中作出有约束力的裁决并指示提高罚款金额后，爱尔兰DPC于2022年12月31日作出最终决定：对Facebook服务相关违规处罚2.1亿欧元，对Instagram服务相关违规处罚1.8亿欧元，合计3.9亿欧元，并责令Meta在3个月内使其数据处理符合GDPR要求。

【典型意义】
本案是全球GDPR执法中对'透明度义务'最深入的法理解释，对全球隐私通知的撰写标准产生深远影响。核心启示有三：一是'分层通知'本身合法，但各层之间必须是清晰的渐进深化路径，而非循环引用；二是必须在个人数据类别→处理操作→处理目的→法律基础之间建立清晰的映射关系，抽象的清单式列举不再合规；三是避免使用开放式模糊措辞，隐私通知须做到具体、明确、可验证。该案之后，全球数以万计的企业对其隐私政策进行了重新审视和修改。