GDPR处罚案例

收集与GDPR有关的处罚案例，可以通过学习和了解这些案例避免出现与这些被处罚企业相同的问题。

🏠 处罚对象	🕙 处罚时间	💰 罚款金额	📖 详细信息
谷歌	2022年5月18日	1000万欧元	西班牙数据保护机构AEPD称由于谷歌在未经授权的情况下，将用户数据提供给第三方Lumen Project，Lumen Project是哈佛大学的一个学术项目，旨在收集和研究用户发送给网络出版商，平台和服务提供商等不同类型的投诉和删除请求，开展“网络删除”生态分析。AEPD认为，谷歌将提出数据删除请求的用户个人数据提供给Lumen Project，使用户删除请求中包含的所有个人数据都通过网站被发送到另一个可公开访问的数据库中，这种做法阻碍了用户合法行使删除权利。此外，谷歌的隐私政策也未提及与Lumen Project之间的数据传输。
Uber	2022年5月	420万欧元	意大利数据保护机构Garante对Uber处以420万欧元的罚款，该机构称，Uber的一家子公司在未经同意并且没有通知监管公司的情况下处理了客户的个人数据。全球约有5700万客户受到影响。该机构称涉及的个人数据包括联系信息，Uber账户数据，位置信息以及客户与其他客户的关系。
Meta	2024年9月27号	9100 万欧元（7.14 亿元人民币）	Facebook 证实其数亿用户的密码未加密存储，并向 DPC 进行了通报，声称这些密码没有外泄，但同时也承认大约 2000 名工程师曾对这些数据库进行了近 900 万次的查询。Meta 未能加密密码不仅是一个技术错误，而且违反了欧洲的《通用数据保护条例》（GDPR），该条例要求个人数据必须受到强大的安全措施的保护。
Meta	2023年5月22日	€12亿欧元/ 13亿美金	5月22日，爱尔兰数据保护委员会（Data Protection Commission，以下称爱尔兰DPC）宣布对Meta Platforms Ireland（以下称Meta爱尔兰）采取执法行动，对其处以创纪录的12亿欧元罚款，这也是GDPR实施近五年以来的最高罚款。爱尔兰DPC同时要求Meta爱尔兰旗下的Facebook在此处罚决定发布后的五个月内停止向美国转移个人数据，六个月内停止在美国非法处理（包括存储）欧盟和欧洲经济区用户的个人数据，以使其处理个人数据的操作符合GDPR规定。
Meta	2022年9月6日	4亿美元	早在2020年，爱尔兰数据保护委员会就开始着手调查Instagram，原因是该公司默认将13岁至17岁儿童的账户设置为公开状态，并允许在Instagram上拥有商业账户的青少年公开自己的电子邮件地址和电话号码。
Meta	2022 年 3 月	1700万欧元	DPC 宣布，由于 Facebook 的母公司 Meta 违反欧盟GDPR，对其处以 1700 万欧元的罚款。该决定是 DPC 在对 Facebook 提供的 12 次数据泄露说明进行调查后作出的。DPC 表示，在多次大规模个人数据泄露中，Meta 未能证明其采取了适当的安全应对措施，保障欧盟用户的数据安全。
Meta	2021 年 2 月	760万美元	意大利当局以 Facebook 未能遵照 2018 年 11月 该局对其的警告，终止对用户数据的不当使用，亦未发布更正声明，对其处以 760 万美金的罚款。然而，Meta 在已经受到多次当局警告情况下，依旧没有终止对用户数据的不当使用，也没有采取更多保护措施，像鸵鸟一样把头“埋在”沙土中，继续干着损害用户的事情。
Meta	2021年5月	2.4亿欧元(约合3.06亿美元)	约5.33亿Facebook用户的个人数据被泄露到互联网上，包括用户的姓名、电话号码和电子邮件地址等信息。随后，DPC对此展开了调查。调查结果显示，Meta违反了欧盟《通用数据保护条例》（GDPR）第25章节的相关规定。
Meta	2020年7月	5,000万欧元(约合6,280万美元)	2020年7月，爱尔兰数据保护监管机构宣布对Meta处以5,000万欧元(约合6,280万美元)的罚款，原因是未能履行在爱尔兰境内存储用户数据的义务。
Meta	2019年3月	1.9亿英镑(约合2.4亿美元)	2019年3月，英国数据保护监管机构宣布对Meta处以1.9亿英镑(约合2.4亿美元)的罚款，原因是未能告知用户如何控制自己的数据使用方式。
Realmedia Network	2022年9月9日	8,000欧元	罗马尼亚国家个人数据处理监管局（下称“ANSPDCP”）于2022年9月9日发布决定，对Realmedia Network SA违反《通用数据保护条例》（下称“GDPR”）第32（1）（b）和32（2）条的行为进行了调查，并对其处以8,000欧元的罚款。 ANSPDCP指出，调查显示Realmedia Network管理的imobiliare.ro平台上的数据并不安全，致使194,309名自然人的姓名、电话号码、电子邮件地址、邮政地址、个人数字代码、签名和银行数据这几类个人信息被未经授权就被披露。 经过调查，ANSPDCP发现Realmedia Network违反了GDPR第32(1)(b)条和第32(2)条的规定，因其未能采用合适的技术和组织措施来保证具有与数据处理风险相适应的安全水平。鉴于上述情况，ANSPDCP对Realmedia Network处以8,000欧元的罚款。
迷你世界国际公司	2022年9月16日	5个工作日内删除未成年人的个人信息和图片	哥伦比亚数据保护局（下称“SIC”）于2022年9月16日公布了2022年第63823号决议。在收到某位未成年人的父亲的投诉后，SIC根据2012年第1581号成文法（2017年10月）《保护个人数据的一般规定》（下称“《数据保护法》”）第17（b）和17（o）条的规定，命令负责数据处理的迷你世界国际公司组织者取消发布未成年人的个人信息和图片。
TikTok	2020年7月15日	15.5万美元	据外媒报道，2020年7月15日，韩国通信委员会（KCC）发表声明，TikTok（抖音海外版）因未经家长同意收集14岁以下儿童的数据、未通知将用户的个人数据转移海外被处以罚款，罚款总额为1.86亿韩元（15.5万美元）。
Easylife	2022年10月5号	135万英镑	2022年10月5号，Easylife是一家家居用品零售商。ICO调查发现，当客户从Easylife的健康俱乐部目录中购买产品时，该公司会对他们的医疗状况做出预测，然后在未经他们同意的情况下向他们推销健康产品。例如，如果一个人买了一个开罐器或一个餐盘，Easylife就会利用这个购买数据来预测此人患有关节炎，随后打电话向其推销葡萄糖胺关节贴片。 英国信息专员办公室（ICO）对Easylife处以135万英镑的罚款。因为该公司利用14.54万名客户的个人信息来预测他们的医疗状况，并在未经他们同意的情况下向他们推销健康产品。该公司还因拨打1,345,732个恶意直接营销电话被罚款13万英镑。