罗马尼亚ANSPDCP对GLOBAL CUSTOMER CARE SERVICES罚5000欧元：人力资源数据遭网络攻击，责令实施访问日志留存至少30天

罗马尼亚国家个人数据处理监管局（ANSPDCP）于2026年10月2日公布调查结论：对控制者GLOBAL CUSTOMER CARE SERVICES S.R.L.处以26,294列伊（约5,000欧元）罚款，并依GDPR第58(2)(d)条责令整改。调查于2026年8月完成，无投诉人，起因是控制者依第33条自行通报了一起个人数据泄露事件。

其IT基础设施遭到网络攻击，存储个人数据的机密性与可用性均受影响，未经授权人员获取了大量数据主体的数据，涉及在职员工、前员工及其他人员。受影响数据构成一份范围广泛的人力资源档案，包括姓名与联系方式、学历与职业资质、薪酬与福利、身份证件中的身份识别数据、银行账户与支付数据、劳动关系信息、居住地与居留许可数据等。公告未披露攻击类型、发生时间与确切受影响人数。

监管机构认定控制者违反GDPR第32(1)(b)项、第32(1)(d)项及第32(2)条，并指出两项缺陷：一是未能确保处理系统与服务的机密性；二是缺少定期测试、评估措施有效性的程序——后者是独立于具体事件的结构性缺陷，即便某一时点措施合理，若未定期验证其有效性，同样构成不足。监管机构同时强调所需安全水平取决于风险：身份证件、银行数据、薪酬与居住信息的组合虽不属第9条特殊类别数据，但风险仍属高位。

整改措施要求控制者实施对所处理个人数据的基础设施进行访问监控与日志记录的系统，活动日志至少留存30天，并为上述日志建立备份程序。

本案与近期瑞典IMY罚Miljödata等案共享同一执法逻辑：控制者主动通报泄露可能触发对安全实践的全面审查，访问日志留存与定期测试正成为可罚性的直接落点。这一取向对采用外包客服或人力资源共享服务中心模式的企业尤其值得关注。