荷兰某AI公司违规收集面部图像等多类特殊类别个人数据且未尽告知义务被罚3050万欧元案（荷兰DPA，2024年）

【案件背景】
某AI公司运营一个人脸图像数据库，从互联网公开来源收集大量包含人脸的图片（包括名人照片和普通公众的社交媒体图片），用于训练和提供人脸识别AI服务。荷兰数据保护机构（Autoriteit Persoonsgegevens, AP）在接到投诉后展开调查，发现该公司在未向数据主体告知、未取得有效同意的情况下，收集和使用了大量包括面部图像在内的特殊类别（敏感）个人数据。

【违法事实】
荷兰AP认定该公司存在以下与透明度/告知义务密切相关的违规行为：（1）违反GDPR第12条和第13条——公司从公开来源收集数据，但既未在网站上发布任何隐私政策或告知声明，也未以其他任何方式主动告知数据主体其面部图像和个人数据正在被收集、存储和用于AI模型训练，构成告知义务的全面缺失；（2）违反GDPR第5条第1款a项（合法、公平、透明原则）——数据的收集方式和后续用途与数据主体的合理预期严重偏离，一般人发布照片时不可能合理预期其照片会被第三方大规模抓取用于商业人脸识别AI系统的训练；（3）违反GDPR第9条——面部图像数据属于生物识别数据，构成GDPR第9条定义的'特殊类别个人数据'，处理此类数据须满足第9条第2款列举的特定例外条件（如明确同意），而该公司无一满足；（4）违反GDPR第6条——缺乏有效的数据处理法律基础。荷兰AP主席就本案公开发表声明，警告：如果公司领导层明知违规、有权阻止却无所作为，将可能面临个人责任追究——此举标志着GDPR执法从'企业责任'向'个人问责'的延伸。

【处罚决定】
2024年，荷兰AP对该公司处以3050万欧元行政罚款，并命令其立即删除所有未获有效法律基础的敏感数据，对未来的数据处理实施全面的GDPR合规体系，包括建立面向数据主体的完整告知机制（网站隐私政策、主动告知邮件、拒绝机制等）。

【典型意义】
本案对AI行业的数据透明告知具有深远影响。核心启示：一是从事'互联网公开数据'的AI训练不能免除告知义务——'公开可得'不等于'可自由用于商业AI训练'，GDPR对告知义务的规定不因数据来源的公开性而豁免；二是AI公司须在收集数据前即建立告知机制——不能在模型训练完成、产品上线后再'补告知'；三是监管机构警告高管层可能面临个人责任，意味着告知义务的合规已上升为企业治理层面的问题——董事会和高管须主动监督数据保护合规实践。本案对于所有依赖公开数据训练的AI公司（包括大语言模型开发商）均具有警示意义：在欧盟运营的AI服务，透明度告知是不可逾越的红线。