欧洲数据保护周报第38期：CNIL删除权罚款进入EDPB通报序列，欧盟理事会数据保护工作组9月17日议程涉跨境议题

EXTIA案的看点在于罚款标的并非数据泄露或上游违法处理，而是数据主体请求处理机制本身失灵。该公司从事IT工程咨询与客户技术项目人员派驻，2024年收到265条删除请求（主要来自候选人与部分前员工），超过四分之三未获处理或未获妥善处理，其中12条完全未处理。CNIL限制委员会另认定独立的告知义务违反：166名提出删除请求者从未被告知处理结果，另有27人超期获告知，延误长达数月。

该案源自2024年前员工与候选人的投诉，调查被纳入EDPB 2025年发起的“删除权”协调执法框架（Coordinated Enforcement Framework）行动，CNIL于2025年4月对公司开展审计。量刑考量包括：对个人权利核心原则的违反、受影响人数，以及该公司此前已被两次提醒履行义务。案件对实操的直接提示是：权利响应是流程，须以完成率、平均响应时间、结果告知可追溯性三项指标持续度量。

卢瓦尔私立医院案（50万欧元，涉GDPR第32、34条）经EDPB网站再次发布，属发布状态更新而非新的委员会决定，原决定日期为2026年7月21日，违反条款与金额均未变更。该案暴露的是安全基本面：缺少MFA与VPN防护、访问控制薄弱，且未通知全部受影响个人。

机构议程方面，欧盟理事会数据保护工作组将于9月17日10时在布鲁塞尔Europa大厦以1+1格式召开会议，依据9月11日第CM 4060/26号通知召集，除通过议程外含两项实质性议题。结合EDPB同期对透明度条款（第12、13、14条）的协调执法行动，欧洲监管重心正从“重大泄露”向“日常权利响应与告知质量”下沉，这对在欧运营的中资企业意味着：DSAR工单系统的完备性与可审计性，将比事后应急响应更早触发监管接触。