法国GROUPE CANAL+付费电视商业推销未告知数据来源与处理方式被罚60万欧元案（法国CNIL，2023年10月）

【案件背景】
GROUPE CANAL+是法国主要的付费电视频道运营商和节目分销商。法国CNIL收到多起投诉，反映个人在行使GDPR权利（包括访问权、删除权和反对权）时遇到严重困难，且Canal+在商业推销活动中存在多项违规。CNIL对该公司展开全面调查。

【违法事实】
CNIL认定Canal+存在五项违反GDPR的行为，其中与告知义务直接相关的包括：（1）违反GDPR第13条和第14条——Canal+未能依法向数据主体提供充分信息。具体而言：对于直接从数据主体收集的个人数据，公司未告知所有GDPR第13条要求的法定事项，包括未说明数据处理的合法基础（究竟是同意、合同还是正当利益），未告知数据接收方或接收方类别；对于从第三方（如商业合作伙伴、数据经纪商）获取的数据，公司完全未履行GDPR第14条规定的间接收集场景下的告知义务——即未在获得数据后的合理期限内（不超过一个月）向数据主体告知其数据来源、处理目的和法律基础；（2）违反GDPR第12条和第15条——未在法定期限内妥善响应数据主体的访问权请求，部分请求被忽视或被提供不完整的信息；（3）违反法国《邮政与电子通信法》第L.34-5条和GDPR第7条——未获得数据主体的有效同意即进行电子商业推销。此外还认定了处理器合同框架缺失（第28条第3款）、安全措施不足（第32条）和数据泄露通知义务违反（第33条）。

【处罚决定】
2023年10月12日，CNIL对GROUPE CANAL+处以60万欧元行政罚款，并责令其限期整改所有违规事项，特别是建立有效的数据主体权利响应机制和完善告知体系。

【典型意义】
本案突出了间接收集（从第三方获取）场景下的告知义务——这是实践中容易被忽视的合规盲区。GDPR第14条要求：即使个人信息并非直接向数据主体收集，控制者也须在一个月内主动向数据主体告知数据的来源、处理目的和法律基础。许多企业错误地认为'数据不是我们直接收的，就不用告知'——本案明确否定了这一观点。同时，本案也展示了告知义务与数据主体权利（访问权）之间的内在联系：告知不充分往往导致数据主体无法有效行使后续权利。对传媒、电信行业的客户数据管理具有直接指导意义。