IT/AV终端检测认证事业部

半年13亿欧元：欧盟18张GDPR罚单拆解，件件和你的产品有关

2026年10月8日，荷兰监管给Uber开出一张8.25亿欧元的罚单：它用算法自动停用了171名法国司机的账号，全程没有人工复核。这半年，欧盟各国一共开出18张GDPR罚单，合计罚超13亿欧元。只要你的产品碰用户数据，这18张罚单里，就有一张可能是你未来收到的。

案例均来自EDPB官网2026年7-10月实际发布的处罚新闻；7月没有处罚发布，EXTIA和E.E.T.A.A.两案决定日期在7月，已按发布月份归入9月、10月。

18张罚单逐张拆解（2026年7-10月）

1. FREE Mobile和FREE（法国电信运营商｜法国CNIL）｜4,200万欧元｜8月21日

2024年10月遭入侵，约2,400万份用户合同数据泄露（身份、地址、IMEI等）。监管认定安全措施不足，且未充分履行通知义务。这是2026年法国最大罚单，也是"被黑了还要被罚"的典型：攻击发生了，但罚的是你出事之前防护就没做到位。

2. France Travail（法国就业服务局｜法国CNIL）｜500万欧元｜8月21日

2024年一季度遭社会工程攻击，顾问账户被劫持，数十万人数据泄露。教训：员工账号权限、多因素认证这些基础动作，谁都不能省。

3. NEXPUBLICA FRANCE（法国软件服务商｜法国CNIL）｜170万欧元｜8月21日

其开发的社会服务管理软件PCRM发生数据泄露，影响弱势群体事务处理系统。安全措施（Art. 32）不达标。

4. MOBIUS SOLUTIONS（法国｜音乐平台Deezer的前处理者｜法国CNIL）｜100万欧元｜8月21日

作为处理者，未按控制者指示处理数据（Art. 28/29），也没做处理记录（Art. 30），导致用户数据泄露并出现在暗网上。给所有给大厂做代工、做云的厂商：处理者一样会被单独罚。

5. Google（爱尔兰DPC）｜4.03亿欧元｜9月23日

位置数据的三个功能（网页与应用活动、位置历史、位置精度）处理不透明、合法性和公平性不足、拿不出合规证据（问责制）、保留时间过长。被责令6个月内整改。给App/硬件厂商的信号：定位功能怎么开、怎么关、数据留多久、怎么解释，全部都要能说清楚。

6. Securitas Direct（西班牙安防监控公司｜西班牙AEPD）｜10万欧元｜9月22日

监控告知文本引导用户拨打收费热线来行使访问/反对权，把"行权"变成付费服务。违规点：行权渠道不得变相收费、不得设障碍（Art. 12）。

7. EXTIA（法国IT咨询公司｜法国CNIL）｜30万欧元｜9月11日

前员工要求删除数据，公司不回应、拖沓处理。违规点：删除权、行权响应（Art. 12、17）。这家公司被罚源于2024年多名前员工投诉，决定日期在7月21日。

8. Hôpital Privé de la Loire（法国私立医院｜法国CNIL）｜50万欧元｜9月9日

2025年夏攻击者接入病人电子档案系统，健康数据泄露。安全措施不足+未充分告知受影响患者（Art. 32、34）。

9. HSE（爱尔兰卫生服务执行局｜爱尔兰DPC）｜64.5万欧元｜9月3日

纸质医疗记录存放在废弃医院里发霉腐烂，被城市探险者发现曝光；同时泄露通知环节也有问题（Art. 5、32、33、34）。纸质的、线上的，保存条件都是责任。

10. Uber（荷兰AP｜跨边界一站式处理）｜8.2499亿欧元｜10月8日

2018-2022年期间，Uber对司机账户做完全自动化决定——凭欺诈嫌疑或低评分自动停用账户，全程无人工介入，也没告知司机画像机制。171名法国司机经人权联盟投诉，转由荷兰监管处理。目前Uber已上诉，非终局。这是2026年最大罚单，也是"自动化决策"违规的天花板：算法说了算可以，但必须告知+允许人工复核。

11. Wind Tre（意大利电信运营商｜Garante）｜1,670万欧元｜10月12日

非法营销。营销数据没有合法依据、销售网络（第三方代理商）失控、内部安全不足。涉及Art. 5、6、12、15、21、24、25、32一整串。给做经销商/代理商体系的厂商：下游乱用名单，锅要算在你头上。

12. Xandr（挪威广告科技公司｜挪威Datatilsynet）｜860万欧元｜10月16日

非法处理用户数据（无合法依据），并处理了特殊类别数据。源于挪威消费者委员会2020年的投诉。在线广告、程序化交易里的数据链条是重点监管对象。

13. IQVIA（意大利医疗数据公司｜Garante）｜700万欧元｜10月9日

非法处理患者健康数据：告知不足、没做数据保护影响评估（DPIA）、处理者管理失职、未落实隐私设计（by design/by default）。健康数据+第三方链条，双重风险叠加。

14. BBVA（意大利银行｜Garante）｜550.8万欧元｜10月9日

客户明确反对营销后，仍收到至少10条未请求的商业通知。银行辩解"用户应该用我们隐私政策指定的邮箱来退订"，被监管驳回。教训：退订要按用户实际使用的方式随时可操作，别玩捉迷藏（Art. 21反对权）。

15. Emirates（意大利｜Garante）｜18万欧元｜10月9日

乘客健康数据处理不合规、告知不足（Art. 5、12、13）。航空旅客健康数据的处理边界值得注意。

16. La Patria（意大利安保公司｜Garante）｜3.9万欧元｜10月9日

员工数据处理不透明、访问请求处理不合规（Art. 12、13、15）。安保公司的员工信息也照样查。

17. Miljödata（瑞典IT服务商｜瑞典IMY）｜约16万欧元｜10月8日

2025年8月遭攻击，约220万人数据泄露（含身份证号、病假等敏感数据），数据被挂上暗网。原因：新装软件没做充分安全检查、没有自动实时入侵监控（Art. 32）。给做系统集成、给客户部署软件的公司：上线前检查、运行中监控，缺一不可。

18. E.E.T.A.A. 及希腊社会凝聚力与家庭事务部（希腊HDPA）｜部委20万欧元+处理者15万欧元｜10月8日

为部委处理数据的E.E.T.A.A.发生大规模泄露。控制者和处理者之间连数据委托处理协议（Art. 28协议）都没签，安全、通知义务全部失守。这是"没签处理协议"的直接罚款样板——所有外包、SaaS、代工的厂商注意。该案决定日期在7月28日。

五类违规归类：18张罚单的共同规律

1. 安全措施不达标——被黑≠免责，罚的是"该做而没做"（占大头）

FREE 4,200万、France Travail 500万、NEXPUBLICA 170万、MOBIUS 100万、HSE 64.5万、Hôpital 50万、Miljödata 16万、E.E.T.A.A.。共同点：出事前防护就缺位——没有实时入侵监控、新装软件不检查、身份验证形同虚设、纸质档案放任腐烂、连处理协议都没签。攻击者是外因，罚的是"防御没做到位"这个内因。

2. 数据主体权利被忽视——行权难、行权贵、行权没人理

Securitas Direct（让你打收费热线才能查自己数据）、EXTIA（删除请求不处理）、La Patria（员工数据不透明）、BBVA（退订踢皮球）。给用户的权利一旦变成"走过场"，就是白送的罚单。

3. 营销类违规——同意、退订、名单来源，三件事都别糊弄

Wind Tre 1,670万、BBVA 550.8万、Xandr 860万（广告链）。核心三条：同意要真实（不预勾选、不买名单）、退订要随时可操作、营销名单来源要能自证合法。

4. 特殊类别数据——健康、位置，天然是高罚区

Google 4.03亿（位置）、IQVIA 700万（健康）、Emirates 18万（健康）、Hôpital 50万（健康）。碰特殊数据（Art. 9），先想三件事：有没有合法依据、有没有做DPIA、告没告诉用户。

5. 自动化决定+透明度——算法可以说了算，但要给解释和复核

Uber 8.25亿、Google 4.03亿（位置数据画像）。自动封号、自动停用、自动风控都要满足：告知机制（Art. 13/22）、允许人工复核、避免完全自动化一票决定重大事项。

6. 员工数据处理——监控、问卷、离职账号，边界很窄

La Patria（员工数据不透明）。员工是"自己人"，但员工数据不是"自己家数据"。

翻译成制造业听得懂的话：四件事

1. 安全是事前义务，不是事后补救。
   从FREE到Miljödata，罚单口径一致：你被黑了是一回事，你"该装监控没装、该做检查没做、该签协议没签"是另一回事。日志、入侵检测、软件供应链检查、身份验证，现在就要有。
2. 同意和退订，别玩套路。
   默认不勾选、一键退订、全渠道同步生效。BBVA因为退订踢皮球被罚，就是给营销体系的教训。
3. 碰位置、健康、生物特征、儿童数据，按最严标准设计。
   特殊数据意味着DPIA、明确依据、更强的安全、更清楚的告知。IoT设备、安防摄像头、健康监测产品天然踩这条线。
4. 外包和渠道的账，算在你头上。
   E.E.T.A.A.没签Art. 28处理协议被罚，MOBIUS作为处理者被单独罚，Wind Tre因代理商乱用名单被罚。给云服务商、代工厂、经销商、代理商的数据协议，一份都不能少。

本文案例均来自EDPB官网（edpb.europa.eu/news）2026年7-10月发布的处罚新闻，金额与违规点以发布内容为准；Uber案已上诉，非终局。