希腊数据保护局对社会凝聚与家庭事务部及其数据处理者EETAA合计罚款35万欧元：勒索攻击致约250万人数据面临风险

监管机构的核心认定有两点。其一，涉事系统陈旧且安全防护不足，未能达到GDPR第32条所要求的“适当技术与组织措施”。其二，作为控制者的部委与作为处理者的EETAA之间，缺失一份符合GDPR第28条要求的现行有效数据处理合同——即“不存在处于生效状态的、符合GDPR的处理协议”。

这一组合具有典型意义：勒索攻击本身是外部事件，但监管处罚的落点并不在于“被攻击”，而在于被攻击前的防御基线是否到位、控制者与处理者之间的责任链条是否以书面合同形式固化。系统陈旧属于可预见、可整改的风险，长期未整改即构成对安全义务的违反。

对处理者一并处罚则释放了更明确的信号。在GDPR框架下，处理者并非天然免责的“技术执行方”，其未与控制者签订合规处理协议、未落实安全保障措施时，同样会直接成为处罚对象。这为所有承接公共部门数据处理的第三方服务商设定了直接的合规风险敞口。