意大利Garante对一家基金会罚款8000欧元：奖学金公示Excel隐藏列泄露480名申请者税号、住址、证件号与IBAN，上线仅12小时亦不免罚

问题出在隐藏列：外表看似只含排名与姓名的表格中，隐藏列实际存储了约480名申请者的家庭住址、税号、出生日期、电子邮箱、身份证件信息、学业记录以及银行账号（含IBAN）。基金会辩称其依据意大利行政透明度法规，且文件在发布约12小时后即被删除。

Garante驳回了这一抗辩，认定违反GDPR第5条第1款第(a)项与第(c)项（合法性与数据最小化），以及第6条第1款第(c)项与第(e)项结合第6条第2款、第3款。核心逻辑有两点：一是透明度义务只覆盖发布规则实际要求公开的内容，不得扩张至银行账号等与公示目的无关的信息；二是12小时的暴露时长并未使处罚得以免除，说明严重性判断落在“被披露数据的类别”而非“在线时长”。

该案对公共机构与高校的落地提示非常具体：隐藏列不是脱敏手段，公示前必须逐列核验实际发布内容，并对含税号、证件号、IBAN的文件建立“双人复核+脱敏模板”机制。