希腊数据保护局就大规模个人信息泄露开出双罚单：社会保障与家庭事务部罚20万欧元、其处理者E.E.T.A.A.罚15万欧元

泄露影响的数据库包含大量数据主体的个人信息，涉及身份与联系方式、财务数据与健康数据。希腊数据保护局认定，该部作为控制者在泄露通报与向受影响个人告知两项义务上均已合规履行——这一点在实务上具有对照意义：控制者履行通报义务并不抵扣安全措施不足的责任。监管机关同时认定，攻击之所以得逞，与E.E.T.A.A.在明知相关风险的情况下仍继续使用过时的信息系统、安全措施不足直接相关。

被认定违反的条款包括处理器安全要求，以及第28条关于控制者与处理者关系的规定。第28条的核心要求是：控制者应仅选用能提供充分保证的处理者，双方须以合同或法律行为约定处理标的、期限、性质与目的、数据类别、数据主体类别以及控制者与处理者的义务与责任；处理者须在收到控制者指示前不擅自处理，并协助控制者履行数据主体权利与安全义务。本案中监管机关明确指出存在第28条合规缺陷，说明双方之间未能建立完整的数据处理协议关系。

处罚结果为：对社会保障与家庭事务部处以20万欧元行政罚款，对E.E.T.A.A.处以15万欧元行政罚款；同时责令双方依据第28条签订数据处理协议，并全面落实既定的信息系统安全加固措施。这一“控制者+处理者”同时被罚的结构，与意大利Garante 9月对IQVIA的处罚、西班牙AEPD对处理者链条的追责逻辑一致，反映出欧洲监管机关在处理者责任认定上的收紧趋势。

本案对本库“共享及委托处理”与“数据安全事件响应”两个专题具有直接价值。可提炼的操作性结论有三：其一，控制者履行泄露通报义务不等于免责，安全措施不足会被独立评价；其二，处理者“明知系统过时仍继续使用”构成可归责的主观状态，处理者的技术债由此转化为法律责任；其三，公共部门项目中的控制者—处理者链条往往缺少正式的数据处理协议，这本身即为独立的违规事实。对承接政府信息化项目的外包方而言，签订并落实数据处理协议、维持系统版本与补丁基线，是成本最低的风险控制措施。