四张GDPR罚单同日公布：没泄露数据，也罚了1200多万欧元

原创

GTG-Hardy
GTG-Hardy

GTG网络安全实验室

2026年10月13日 11:00
广东

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

10月9日，意大利数据保护局一口气公布四起处罚决定——对涉案公司分别处以700万、550.8万、18万、3.9万欧元罚款。最扎心的是：这四起案件，没有一起是\"黑客入侵、数据泄露\"。

做出口的老板注意了。很多人以为GDPR罚单都是\"被黑客黑了、数据泄露\"惹出来的，今天意大利的这四张罚单，正好把这个误区打碎。

四家公司，合计被罚1272万多欧元，没有一家是被人攻破系统的。 它们被罚的原因，全是日常处理里\"看着不起眼\"的事。

01

先看四张罚单长什么样

四起案件最终决定日期横跨5月到9月，意大利监管机构集中在10月9日对外公布——这本身就是个信号：罚款不是偶发，是批量在结案。

02

看懂规律：被罚的全是\"常规操作\"

这四张罚单，对应的恰恰是GDPR里最基础的四件事：

第一件：处理数据要告诉人家（告知义务）。

海外医疗数据服务商用100多万患者的数据做研究，患者压根不知道自己的健康数据被拿去用了。罚700万。

第二件：客户说\"不要了\"，你要停（反对权）。

境外银行分支机构的客户明确拒绝营销推送，银行继续发。就这一件事，罚550万。别觉得\"发个营销邮件能有多大罪\"——在GDPR里，拒绝权被无视，罚金可以按亿算（去年，境外某知名出行平台停用司机账户罚款8.2亿欧元，核心也是不尊重用户）。

第三件：数据不能无限期留着（存储限制）。

国际航空公司把乘客的健康信息表格留了7年。监管问：你留这么久干嘛？答不上来，罚18万。

第四件：员工的数据也是数据（员工权利）。

保安公司处理员工信息，告知没做全、员工想查自己的数据查不到。金额不大，3.9 万——但这是所有公司都跑不掉的一条，你有员工，你就有这条义务。

03

重点拆解：700万欧元罚在\"脱敏\"上

四张罚单里最值得细看的是那家医疗数据服务商——它做医疗数据服务，但用了患者数据做\"观察性研究\"。

监管认定的问题有三个：

1. 数据没脱干净：监管机构用合理手段就能重新识别出具体患者是谁。你以为脱敏了，实际没脱成。
2. 没有合法依据：处理健康数据属于 GDPR 里的\"特殊类别\"，必须有明确的法律基础，它没有。
3. 没告知患者：数据主体的知情权被跳过。

结果：700 万欧元罚款 + 120 天整改。

这对做医疗器械、健康监测硬件、可穿戴设备的厂商是直接警告：你的产品如果收集心率、睡眠、运动等健康相关数据，这些数据在欧盟法律里就是\"特殊类别\"，处理门槛比普通数据高得多——光\"脱敏\"两个字，就可能决定你是拿证出货，还是拿到罚单。

04

出口制造商自查四条

看完这四张罚单，对照你自己的业务，重点查这四件事：

① 你的产品/服务收不收集健康数据？

心率、血压、睡眠、运动轨迹……只要沾边，在欧盟就是\"特殊类别数据\"。法律依据、告知、脱敏强度，都要单独过一遍。

② 客户的联系方式，你拿来做营销了吗？

只要做过一次\"客户拒绝后仍发营销\"的操作，就是同一个雷。拒绝渠道要畅通、要记录、要真的执行。

③ 你的数据存储期限，有说法吗？

“先存着，万一以后有用”——这就是 Emirates 被罚的逻辑。每类数据定一个明确的保留期限，到期就删。

④ 员工数据，你尽到义务了吗？

入职告知、员工访问权、考勤门禁数据的处理……最便宜的一课，也是逃不掉的一课。

05

写在最后

这四张罚单，金额从小到大排开，恰恰是 GDPR 执法的完整谱系：大公司因为\"高级问题\"被罚千万级，小公司因为\"基础问题\"被罚几万块——但没有任何一家因为\"没被黑客打\"而免责。

对出口欧盟的制造商来说，合规不是\"防黑客\"，是把日常数据处理流程做规范。防黑客是安全团队的事，告知、脱敏、存储期限、拒绝权——这些是从产品定义、研发、到市场推广，每个环节都要带上的事。

今天这 1200 多万欧元，就是欧洲监管给你出的题。你已经在做题了吗？

GTG 网络安全实验室 · 跟踪 GDPR 合规动态

本文事实依据意大利数据保护局（Garante）2026-10-09 公布的处罚决定整理，以官方原文为准。

更多相关内容

尽在视频号“GTG网络安全实验室”

广测电磁：全球数字安全合规优选伙伴

别让合规只停留在“拿证”。

面对欧盟 CRA网络弹性法案、AI法案及 GDPR/CCPA/数据法案等严苛监管，凭借CNAS(L18872)+A2LA(6947.01)双资质及前360/深信服核心网络安全专家团队，为您提供真正的“实战级”防护。

🏆 为什么GTG能为您降本避险？

• 拒绝模板：不只给报告，我们提供定制化漏洞修复方案，确保产品真安全。
• 极致省心：代写核心文档，免除繁琐填表，让合规效率提升70%。
• 全域覆盖：从消费电子到汽车、工控、医疗，一站式解决全球隐私与数据安全难题。

您的全球合规通行证，从这里开始。

[ 👉 CRA / AI法案 / 隐私合规 ]