欧盟
共 98 条处罚案例
Yoti数字身份App违规处理生物识别数据及过度保留用户信息案
处罚单位：西班牙数据保护局（AEPD）
被处罚主体：YOTI Ltd.
违规处理生物识别数据（GDPR第9条）、未获有效同意（第7条）、数据留存时间过长（第5条第1款e项）
Conde Nast/Vanity Fair未获同意放置Cookie且拒绝机制无效案
处罚单位：法国国家信息与自由委员会(CNIL)
被处罚主体：LES PUBLICATIONS CONDE NAST
未经用户同意放置Cookie、信息告知不清、拒绝及撤回同意机制无效
罗马尼亚能源公司未实施与数据风险级别相称的安全措施导致用户账户数据被窃取罚款25000欧元案
处罚单位：罗马尼亚数据保护局(ANSPDCP)
被处罚主体：罗马尼亚能源公司
SHEIN用户拒绝后仍投放Cookies案
处罚单位：法国国家信息与自由委员会(CNIL)
被处罚主体：Roadget Business Pte. Ltd. / SHEIN集团
在用户明确拒绝Cookies后仍在用户设备上设置追踪型Cookies，完全无视用户拒绝的意思表示，严重违反GDPR关于同意的合法基础要求。
谷歌未经有效同意设置Cookies案
处罚单位：法国国家信息与自由委员会(CNIL)
被处罚主体：Google LLC / Google Ireland Limited
在未取得用户有效同意的情况下设置追踪Cookies，用户拒绝路径相比接受路径更复杂，损害同意的自愿性，违反GDPR和电子隐私指令关于同意的合法基础规定。
Meta二元「同意或付费」模型违反DMA案
处罚单位：欧盟委员会(European Commission)
被处罚主体：Meta Platforms
DMA下「付费或同意」模型未提供使用较少数据但等效的替代服务，用户无法自由行使同意权利
卢森堡某信贷机构47起数据主体访问请求（DSAR）系统性逾期未响应案（卢森堡CNPD，2025年1月）
处罚单位：卢森堡国家数据保护委员会(CNPD)
被处罚主体：卢森堡某信贷机构47起
OpenAI违规使用个人数据训练ChatGPT模型案
处罚单位：意大利数据保护局（Garante）
被处罚主体：OpenAI OpCo LLC
无充分法律依据使用个人数据训练ChatGPT，违反透明度原则，年龄验证机制不足
Netflix未充分告知客户数据处理方式案
处罚单位：荷兰数据保护局(AP)
被处罚主体：Netflix International B.V.
未向客户充分清晰地告知个人数据的处理目的、方式和法律基础，隐私声明缺乏透明度，违反GDPR关于告知义务和数据处理合法基础的规定。
Meta Platforms Facebook 2018年安全漏洞导致2900万用户敏感信息泄露案
处罚单位：爱尔兰数据保护委员会（DPC）
被处罚主体：Meta Platforms Ireland Limited（MPIL）
违反GDPR第25条（数据保护设计与默认设置）、第33条（数据泄露通知义务），产品设计存在严重安全漏洞
西班牙OK MOBILITY GROUP未响应数据主体访问请求且隐私政策未载明数据保留期限案（西班牙AEPD，2024年12月）
处罚单位：西班牙数据保护局(AEPD)
被处罚主体：OK MOBILITY GROUP
德国汉堡某信贷催收服务商超法定保存期限5年未删除个人数据案（汉堡DPA，2024年11月）
处罚单位：德国汉堡数据保护局(DPA)
被处罚主体：德国汉堡某信贷催收服务商超法定保存期限5年
芬兰邮政Posti未经明确同意自动创建电子邮箱并捆绑服务案
处罚单位：芬兰数据保护局(Finnish DPA)
被处罚主体：Posti Jakelu Oy
未经客户明确同意自动创建电子邮箱并捆绑至合同服务，技术设置含自动激活和预勾选
SEAT汽车网站未获事先同意即放置Cookie案
处罚单位：西班牙数据保护局(AEPD)
被处罚主体：SEAT S.A.
未获用户事先同意即自动放置非必要Cookie，且撤回同意后Cookie仍被读取
LinkedIn违法处理用户数据用于定向广告案
处罚单位：爱尔兰数据保护委员会(DPC)
被处罚主体：LinkedIn Ireland Unlimited Company
未经用户有效同意将个人数据用于行为分析和定向广告，未能以合法利益作为合法处理基础，违反GDPR第6条关于合法基础的规定以及公平性和透明度原则。
比利时某公司非法使用员工指纹进行考勤时间登记案
处罚单位：比利时数据保护局（Belgian DPA）
被处罚主体：比利时某公司（匿名）
使用指纹考勤未获有效同意，未提供充分信息，未进行DPIA，存在更少侵入性的替代方案（工卡、密码）
Uber违规跨境传输司机个人数据案
处罚单位：荷兰数据保护局(AP)
被处罚主体：Uber B.V. / Uber Technologies Inc.
在未提供充分保护措施和未取得合法传输基础的情况下，将欧洲司机的个人数据和敏感信息传输至美国，违反GDPR第五章关于跨境数据传输合法基础的规定。
比利时某电信运营商14个月未响应数据主体访问请求案（比利时APD，2024年8月/2025年1月罚款减至5000欧元）
处罚单位：比利时数据保护局(APD)
被处罚主体：比利时某电信运营商14个月
Clearview AI非法收集人脸数据案
处罚单位：荷兰数据保护局(AP)
被处罚主体：Clearview AI Inc.
在未取得合法处理基础的情况下从互联网非法抓取数十亿张人脸图像建立面部识别数据库，非法处理敏感生物识别数据，违反GDPR关于合法基础和敏感数据处理的规定。
Amazon法国物流中心过度监控员工案
处罚单位：法国国家信息与自由委员会（CNIL）
被处罚主体：Amazon France Logistique
过度侵入性的员工监控系统，实时记录每个动作和停工时间，违反数据最小化原则，缺少合法基础，告知不充分
法国NS CARDS FRANCE电子支付服务未充分告知用户数据处理信息被罚10.5万欧元案（法国CNIL，2023年12月）
处罚单位：法国国家信息与自由委员会(CNIL)
被处罚主体：法国NS CARDS FRANCE电子支付服务
波兰mBank数据泄露后故意不通知受影响客户隐瞒事件被罚92.8万欧元案
处罚单位：波兰个人数据保护办公室(UODO)
被处罚主体：波兰mBank
Austrian Post未经同意推断用户政治倾向案
处罚单位：奥地利数据保护局(DSB)
被处罚主体：Osterreichische Post AG
未经数据主体同意，使用算法推断公民政治倾向（敏感数据）用于定向广告，违反GDPR处理合法性和敏感数据处理规则
TikTok因未向儿童用户提供清晰透明的数据处理信息被罚3.45亿欧元案（爱尔兰DPC，2023年9月）
处罚单位：爱尔兰数据保护委员会(DPC)
被处罚主体：TikTok Technology Limited
TikTok违规处理儿童个人数据——默认公开账户设置及年龄验证不足案
处罚单位：爱尔兰数据保护委员会（DPC）
被处罚主体：TikTok Technology Limited
将儿童账户默认设为公开，使用黑暗模式诱导公开选择，年龄验证机制不足，违反GDPR多项儿童数据保护条款
法国广告技术公司Criteo因广告追踪缺少透明度无法证明有效同意被罚4000万欧元案（法国CNIL，2023年6月）
处罚单位：法国国家信息与自由委员会(CNIL)
被处罚主体：法国广告技术公司Criteo因广告追踪缺少透明度无法证明有效同意被罚4000万欧元
爱尔兰银行未能验证数据泄露是否在72小时内通知DPC被罚46.3万欧元案
处罚单位：爱尔兰数据保护委员会(DPC)
被处罚主体：爱尔兰银行
意大利Ediscom暗黑模式Cookie横幅案（首例暗黑模式独立处罚）
处罚单位：意大利数据保护局(Garante)
被处罚主体：Ediscom S.p.A.
使用暗黑模式（持续弹窗+不对称界面设计）诱导用户作出同意，同意记录不完善
Meta Ireland因Facebook/Instagram隐私通知未能清晰链接数据类型与处理目的、违反透明度义务被罚3.9亿欧元案（爱尔兰DPC，2022年12月）
处罚单位：爱尔兰数据保护委员会(DPC)
被处罚主体：Meta Platforms Ireland Limited
Meta（Facebook）2018-2019年数据泄露事件因安全措施不足导致第三方应用滥用数据案
处罚单位：爱尔兰数据保护委员会(DPC)
被处罚主体：Meta Platforms Ireland Limited
西班牙AEPD对Vueling航空公司网站Cookie同意墙设计和追踪透明度不足处以罚款案
处罚单位：西班牙数据保护局(AEPD)
被处罚主体：Vueling Airlines S.A.
希腊数据保护局对普华永道PwC希腊违规处理数万名员工个人数据并缺乏法律依据处以罚款案
处罚单位：希腊数据保护局(HDPA)
被处罚主体：PricewaterhouseCoopers Business Solutions S.A.
德国BfDI对某中型制造企业DPO在未经咨询的情况下被公司解雇处50万欧元罚款案
处罚单位：德国联邦数据保护与信息自由专员(BfDI)
被处罚主体：某德国中型制造企业
法国CNIL对某跨国快消品公司DPO未参与数据跨境传输SCC签订流程被罚案
处罚单位：法国国家信息与自由委员会(CNIL)
被处罚主体：某法国跨国快消品公司
比利时数据保护局裁定IAB Europe的TCF同意框架违反GDPR Cookies合规标准案
处罚单位：比利时数据保护局(APD)
被处罚主体：IAB Europe
法国CNIL对Google因未获有效Cookie同意和拒绝机制繁琐合计罚款1.5亿欧元案
处罚单位：法国国家信息与自由委员会(CNIL)
被处罚主体：Google LLC / Google Ireland Limited
西班牙AEPD对某大型金融机构DPO联系信息未公开且监管无法联系被处10万欧元罚款案
处罚单位：西班牙数据保护局(AEPD)
被处罚主体：西班牙某大型金融机构
意大利Garante对某医疗集团DPO未参与数据处理前的DPIA审查流程处以罚款案
处罚单位：意大利数据保护局(Garante)
被处罚主体：某意大利大型医疗集团
Amazon Europe Core未依法响应数据主体权利请求案（卢森堡CNPD，2021年/2025年3月上诉驳回）
处罚单位：卢森堡国家数据保护委员会(CNPD)
被处罚主体：Amazon Europe Core S.a.r.l.
卢森堡DPA对Amazon Europe违规向美国跨境传输用户数据处以7.46亿欧元罚款案
处罚单位：卢森堡国家数据保护委员会(CNPD)
被处罚主体：Amazon Europe Core S.a.r.l.
德国笔记本零售商notebooksbilliger.de未任命DPO被处1040万欧元罚款案
处罚单位：德国下萨克森州数据保护局(LfD Niedersachsen)
被处罚主体：notebooksbilliger.de AG
比利时数据保护局对某大型电信运营商DPO兼任多职且利益冲突严重处5万欧元罚款案
处罚单位：比利时数据保护局(APD)
被处罚主体：比利时某大型电信运营商
意大利Eni能源公司客户数据存储安全措施不足被GDPR罚款案
处罚单位：意大利数据保护局(Garante)
被处罚主体：Eni S.p.A.
德国1&1电信公司客户通话录音未加密长期存储且安全措施严重不足案
处罚单位：德国联邦数据保护与信息自由专员(BfDI)
被处罚主体：1&1 Telecom GmbH
