摩纳哥个人数据保护局对蒙特卡洛国际学校作出公开催告：未成年人访问权请求逾5个月未获完整答复

2026年9月10日，摩纳哥个人数据保护局（Autorité de Protection des Données Personnelles, APDP）主席Robert CHANAS作出决定，对蒙特卡洛国际学校（International School of Monaco, ISM）发出正式催告（mise en demeure），并因违法情节严重且数据控制者在监管机构多次干预后仍不作为，决定对该催告附加公开措施（publicité）。该决定同时载明，将于公布之日起6个月后作匿名化处理。 案件起因于2026年5月22日APDP收到的一起投诉（编号20260500093）。2026年4月14日，一名家长向该校数据保护官（DPO）行使访问权，请求提供其未成年子女的行政档案、健康数据、提及该子女及其家庭的电子邮件（含内部邮件），并要求说明处理目的、保存期限与接收者。校方DPO于5月13日答复，提供了处理目的与保存期限以及3份学期报告和行政档案截图，但对电子邮件主张"访问权仅及于请求人本人发送给学校且不含有第三方个人数据的邮件"。 APDP认定该校存在三项违法。其一，违反第1.565号法律第10条第2款的答复期限。该条款要求控制者自收到请求起一个月内书面告知处理情况；请求复杂或数量众多时可延长两个月，但须在一个月内以"说明理由"的方式告知请求人。APDP明确：以电子邮件提出的请求，以收件日期为收到日；本案请求于4月14日发出，最迟应于5月14日前答复，即便合法延期，最长答复日也仅为7月14日。APDP特别指出，"答复需要付出较大努力"本身并不使请求构成法律意义上的"复杂"，且校方在与请求人的往来中并未提及延期或说明"复杂性"。 其二，违反第12条访问权。APDP认为，须区分请求人是邮件的发件人／收件人还是仅被提及：对于请求人为发件人或收件人、仅提及第三方姓名的邮件，应当提供，控制者可在提供前隐去第三方姓名；对于仅提及请求人但其非发件人亦非收件人的邮件，控制者须逐件研究邮件内容，结合通信秘密、发件人与收件人的私生活尊重，乃至商业秘密，权衡向请求人披露所涉个人数据对第三方权利的影响，并建议在答复中隐去第三方身份或可间接识别其身份的要素。APDP强调，不得对请求人主张"原则性拒绝提供任何数据"。此外，校方未告知请求人第12条列明的全部信息，尤其未告知其可向APDP投诉的权利。 其三，违反第22条第1款的问责原则。校方在2026年9月4日的最后复函中称"暑期已结束，自本周全面复工起将更易迅速就实体问题答复"。APDP指出，控制者必须建立相应流程，确保在法定时限内答复权利请求，无论一年中的何时或工作量如何，法定时限都必须得到遵守；本案自收到请求已近5个月核查仍在进行，构成对问责原则的违反。 决定主文：依据第1.565号法律第50条第2款，责令ISM自收到本决定之日起最长15日内，补充提供缺失的个人数据及第12条规定的全部信息；鉴于违法情节严重且控制者在APDP多次干预下仍不作为，对该催告附加公开措施，催告终结时亦将以同样方式公开。 本案是摩纳哥2024年12月3日第1.565号《个人数据保护法》及其2025年7月10日第11.327号主权法令施行以来，APDP公布的又一起标志性执法，对访问权行使中的"延期须说明理由""不得原则性拒绝""第三方数据应隐名提供"以及"时限合规流程化"等要点给出了明确尺度。