意大利数据保护机构因未尊重客户反对直销的意愿对 BBVA 罚款 5 508 000 欧元
意大利数据保护机构对 BBVA 处以 5 508 000 欧元罚款，原因是其未尊重一名客户对直销的反对。同一批通报中，意大利数据保护机构还因乘客健康数据违规对 Emirates 罚款 180 000 欧元，因非法处理患者健康数据对 IQVIA 罚款 7 000 000 欧元，并因员工数据违规对一家安保公司罚款 39 000 欧元。
#GDPR
EDPB 欧洲数据保护委员会精选AI 评分6262 EDPB 欧洲数据保护委员会AI 评分4949 意大利 DPA 因乘客健康数据处理违规对 Emirates 罚款 18 万欧元
意大利数据保护机构因 Emirates 处理乘客健康数据违规对其罚款 18 万欧元，涉及 GDPR 第 5(1)(a)、5(1)(e)、12 和 13 条。Emirates 通过 MEDIF 表格收集乘客健康、医生及陪同人员信息，但未提供清晰透明的处理说明，且七年留存期过长。DPA 责令其在 30 天内整改，明确需填表乘客类别及必要字段，并删除超期留存数据。
EDPB 欧洲数据保护委员会AI 评分7777 意大利数据保护机构因非法处理患者健康数据对 IQVIA 罚款 700 万欧元
意大利数据保护机构对 IQVIA Solutions Italy S.r.l. 处以 700 万欧元行政罚款，认定其处理约 100 万名患者、来自 800 名全科医生的健康数据缺乏适当法律依据，且未提供充分告知。
CNIL 法国数据保护机构AI 评分2222 CNIL 2026年10月8日全体会议议程
CNIL 于 2026 年 10 月 8 日召开全体会议，议程包括审议会话重放工具建议的决议草案（公开咨询后版本），以及批准授权 SANTE（Octopize Mimethik Data）实施名为「ONCOVAL」的自动化个人数据处理，用于构建匿名化数据集以支持医学研究。
EDPB 欧洲数据保护委员会AI 评分8787 荷兰数据保护机构因违法自动化决策和画像信息不足对 Uber 罚款 8.2499 亿欧元
荷兰数据保护机构以违法自动化决策和画像信息不足为由，对 Uber 罚款 8.2499 亿欧元。同一页面还列出希腊数据保护机构就涉及 E.E.T.A.A. S.A. 的数据泄露作出决定、瑞典数据保护机构因技术和组织措施不足对 Miljödata i Karlskrona 罚款约 16 万欧元，以及爱尔兰数据保护委员会因 Google 位置数据处理问题对其罚款 4.03 亿欧元。
EDPB 欧洲数据保护委员会AI 评分3434 希腊 DPA 就 E.E.T.A.A. S.A. 作为社会凝聚与家庭事务部处理者涉及的数据泄露作出决定
希腊数据保护机构就 E.E.T.A.A. S.A. 作为社会凝聚与家庭事务部处理者所涉数据泄露作出决定。该决定由 EDPB 于 2026 年 10 月 8 日发布。
EDPB 欧洲数据保护委员会AI 评分4242 瑞典 DPA 因信息安全技术与组织措施不足对 Miljödata i Karlskrona 罚款约 16 万欧元
瑞典数据保护机构因技术与组织措施不足以保障信息安全，对 Miljödata i Karlskrona 处以约 16 万欧元罚款。该处罚由 EDPB 于 2026 年 10 月 8 日发布的国家新闻中披露。
AEPD 西班牙数据保护局AI 评分2222 AEPD 发布《隐私、创新与技术》期刊第二期，纪念 GDPR 十周年
西班牙数据保护局（AEPD）发布《隐私、创新与技术》（PIT）期刊第二期，专刊纪念 GDPR 十周年，聚焦其在技术演进下面临的挑战。专刊三篇文章分别讨论问责原则、自动化决策中的解释权，以及公共行政部门使用生成式 AI 时的隐私设计。期刊另设隐私研究栏目，收录九项研究，涵盖神经数据、匿名化、数据泄露、智慧城市、算法政治广告与合成身份等议题。
AEPD 西班牙数据保护局精选AI 评分6060 AEPD 就 AI 视频监控项目向两个市政当局发出警告
西班牙数据保护局（AEPD）依据 GDPR 第 58.2.a 条，就两个含 AI 图像自动分析功能的视频监控项目向两个市政当局发出预防性警告，其中一个项目涉及人脸检测或识别，另一个包含人员与车辆检测、元数据生成以及按衣着、头发、性别或年龄段等外貌特征搜索人员。
推荐理由：AEPD 对两个市政 AI 视频监控项目发出预防性警告，读者可了解人脸识别与生物特征处理需满足的合规门槛。
ANPD 巴西国家数据保护局AI 评分2222 ANPD 与葡萄牙 CNPD 签署数据保护合作备忘录
巴西国家数据保护局（ANPD）与葡萄牙数据保护机构 CNPD 签署谅解备忘录，为技术合作、团队培训和经验交流建立总体框架，重点推动巴西 LGPD 与欧盟 GDPR 的有效执行。双方将联合编制指南、工具和指导材料，并加强机构间技术合作与监管经验交流。此前 ANPD 还参加了在西班牙马德里举行的第二届数据治理高级别政治对话，会议聚焦跨境数据传输、数据大使馆及 AI 对个人数据保护的影响。
Garante 意大利数据保护局精选AI 评分6060 意大利 Garante 追踪像素指南进入适用期，邮件营销须在 2026 年 10 月 29 日前合规
意大利数据保护局 Garante 关于电子邮件中追踪像素的指南进入适用阶段，企业、平台和新闻邮件须在 2026 年 10 月 29 日前调整告知、同意和撤回机制。
推荐理由：意大利 Garante 的追踪像素指南进入合规期，邮件营销方需在 10 月 29 日前调整告知、同意与撤回机制。
CNIL 法国数据保护机构AI 评分2222 CNIL 解读：GDPR 数据泄露后，哪些情况下可以要求赔偿？
法国 CNIL 明确，数据泄露不会自动带来赔偿权，受害者须同时证明存在 GDPR 违规、真实损害以及两者间的因果关系，才能依据 GDPR 第 82 条向控制者或处理者索赔。赔偿由法官而非 CNIL 裁定，CNIL 只能受理投诉并采取纠正措施或罚款。2025 年 4 月 30 日法律改革后，符合条件的协会可代为维权，统一集体诉讼制度也可用于个人数据保护索赔。
Garante 意大利数据保护局精选AI 评分7676 意大利数据保护局因健康数据处理违规对 IQVIA 罚款 700 万欧元
意大利数据保护局对 IQVIA Solutions Italy S.r.l. 处以 700 万欧元罚款，该公司建立了覆盖 800 名全科医生、100 万名患者健康信息的数据集，用于受制药企业委托的研究。
推荐理由：意大利数据保护局对 IQVIA 开出 700 万欧元罚单，并说明为何其患者数据不构成匿名，可供理解健康数据去标识化的合规边界。
DPC 爱尔兰数据保护委员会精选AI 评分6262 DPC 公布对 Children's Health Ireland 调查的最终决定
DPC 公布对 Children's Health Ireland（CHI）的最终决定，认定其 Tallaght 大学医院院区在 NCHD 办公室纸质病历的保密与安全管理上违反 GDPR 第 5(1)(f) 条和第 32(1) 条。
推荐理由：DPC 对儿童医院纸质病历安全问题的最终决定，展示了监管机构在纸质记录与保密废弃物管理上的具体整改要求。
Garante 意大利数据保护局AI 评分2222 Garante 2026年9月30日第552期通讯：Google 被罚4.03亿欧元、博洛尼亚安保公司被罚3.9万欧元
意大利数据保护局 Garante 在2026年9月30日第552期通讯中披露，Google 因隐私违规被处以4.03亿欧元罚款，该案由 Garante 与爱尔兰 DPC 联合介入。
ICO 英国信息专员办公室AI 评分3838 WASPI 发布英国 GDPR 信息共享协议行为准则，覆盖威尔士公共服务
WASPI 发布英国 GDPR 信息共享协议（ISP）行为准则，依据 UK GDPR 第 40 条制定，为威尔士健康、教育、社会照护和保障服务中的个人信息共享提供统一框架。准则要求强制使用 WASPI ISP 模板，并引入治理、质量保证、问责、定期审查和持续监督六项要求。已有超过 1,000 家机构加入 WASPI Accord，ICO 表示支持并将继续与 WASPI 合作。
Garante 意大利数据保护局AI 评分1212 Garante 播客第九集聚焦 RPD 在公共与私营部门数据治理中的角色
Garante 隐私播客“A proposito di privacy”第九集上线，聚焦 RPD 在公共与私营部门数据治理中的角色。节目以该机构处罚某市镇一案为切入点：该市镇虽已就员工监控视频系统正确编制影响评估，却未让本机构 RPD 参与，违反 GDPR 义务。Garante 公共部门事务部主管 Laura Ferola 做客详解 GDPR 引入的这一角色的职责、要求与行动范围。
CNIL 法国数据保护机构AI 评分4242 CNIL 结束对 SOLOCAL MARKETING SERVICES 的整改 injunction
法国 CNIL 于 2026 年 9 月 17 日决定，结束 2025 年 5 月对 SOLOCAL MARKETING SERVICES 下达的整改 injunction。
EDRi 欧洲数字权利精选AI 评分6262 EDRi 公开信：欧盟成员国应维护 GDPR 保护，反对数据数字综合法案
EDRi 就欧盟《数据数字综合法案》发表公开信，呼吁成员国在谈判中维护 GDPR 保护。文章指出，理事会 9 月 3 日爱尔兰主席国妥协文本与 9 月 21 日修订文本仍未解决根本问题，新第 25a 条及序言 27 可能让同一假名化数据对一方是个人数据、对另一方是非个人数据，从而模糊假名化与匿名化的界限。
推荐理由：EDRi 逐条拆解欧盟理事会文本对 GDPR 适用范围的改动，读者可据此判断假名化数据与 AI 正当利益条款的走向。
AEPD 西班牙数据保护局AI 评分4444 AEPD 就 AI 简历筛选评分工具向一家企业发出警告
西班牙数据保护局（AEPD）依据 GDPR 第 58.2.a) 条向一家企业发出警告，该企业计划部署 AI 工具分析简历、为候选人打分并可能据此排序，影响录用与内部晋升决定，但工具尚未上线。
EDPB 欧洲数据保护委员会精选AI 评分7777 爱尔兰数据保护委员会就 Google 位置数据处理开出 4.03 亿欧元罚款
EDPB 发布消息称，爱尔兰数据保护委员会在对 Google 位置数据处理展开调查后，对其处以 403 000 000 欧元罚款。
推荐理由：EDPB 汇总页列出爱尔兰 DPC 对 Google 位置数据处理的 4.03 亿欧元罚款，可对照同期各国 DPA 的执法动向。
CNIL 法国数据保护机构精选AI 评分6262 EDPB 通过 GDPR 罚款指南与 DSA 和 GDPR 衔接指南
EDPB 于 9 月 17 日通过关于数据保护机构罚款权力的指南，规定决定是否处以行政罚款时遵循五步方法，包括判断违规是否可罚、责任主体、故意或过失、加重与减轻情节，以及罚款是否有效、相称和具有威慑力。
推荐理由：EDPB 通过罚款评估五步法与 DSA 和 GDPR 衔接指南，读者可了解监管机构如何决定是否处罚及两类法规如何分工。
EDPB 欧洲数据保护委员会AI 评分4747 西班牙 DPA 因将数据主体权利行使引向收费电话、增加行使难度，对 Securitas Direct 罚款 10 万欧元
西班牙数据保护机构对 Securitas Direct 处以 10 万欧元罚款，原因是该公司将个人引向收费电话号码，使数据主体更难行使自身权利。该处罚由 EDPB 于 2026 年 10 月 8 日作为国家新闻发布。
EDPB 欧洲数据保护委员会精选AI 评分6767 EDPB 统一 GDPR 罚款方法论并定稿 DSA-GDPR 衔接指南
EDPB 在全体会议上通过关于 GDPR 行政罚款权力的适用指南，以及 DSA 与 GDPR 衔接指南的最终版本。新指南要求数据保护机构按五步方法判断是否罚款：先确认违规是否可罚款、确定被调查方是否可被罚款、评估违规是否出于故意或过失、评估加重与减轻因素，最后判断罚款是否有效、相称且具有威慑力。
推荐理由：EDPB 给出罚款与否的五步判断方法，并说明轻微违规可改为训诫，读者可据此理解 DPA 的执法尺度。
noyb精选AI 评分8282 noyb：欧盟成员国拟为AI公司放行个人数据使用，被指对欧洲人的数字征收
noyb 指出，在《数字综合法案》框架下，欧盟委员会提出的第88c条（理事会文件中为第88bis条）拟允许AI公司在“AI语境”下广泛使用个人数据，无需用户同意，公司被自动推定具有压倒性的正当利益。
推荐理由：梳理欧盟《数字综合法案》第88c/88bis条在理事会的最新走向，呈现AI训练使用个人数据规则可能出现的根本性变化。
DPC 爱尔兰数据保护委员会精选AI 评分7777 DPC 因 Google 位置数据处理对其罚款 4.03 亿欧元
DPC 公布对 Google Ireland Limited 的最终决定，认定其在 Web & App Activity、Location History 和 Location Accuracy 三项功能的位置数据处理中违反 GDPR，涉及合法性、公平性、透明度、问责与数据留存，合计罚款 4.03 亿欧元，并责令 Google 在 6 个月内整改。
推荐理由：DPC 对 Google 位置数据处理的最终决定，呈现了 GDPR 下合法性、透明度与留存义务被认定违规的具体范围。
SOMI 荷兰市场信息研究基金会精选AI 评分6262 SOMI 就儿童安全向 Snapchat 发出德国警告函并向荷兰数据保护机构投诉
荷兰非营利基金会 SOMI 于 2026 年 9 月 16 日在德国向 Snapchat 母公司 Snap 发出正式警告函，指其平台设计存在儿童安全与成瘾性设计问题，并同日向荷兰数据保护机构（Autoriteit Persoonsgegevens）提交投诉。
推荐理由：SOMI 以警告函和投诉同时施压 Snapchat，读者可了解其援引的 DSA、AI Act 与德国青少年保护法五条法律路径。
Access Now精选AI 评分6262 Access Now 等组织致函欧盟，要求就加拿大 C-22 法案采取行动
Access Now 与多家欧洲民间组织联名致函欧盟委员会主席 Ursula von der Leyen、欧盟委员及欧洲议会议员，要求推动修改加拿大《合法访问法》C-22 法案。
推荐理由：Access Now 联合欧洲民间组织致函欧盟机构，列出对加拿大 C-22 法案的具体诉求，读者可了解跨境监控立法与 GDPR 充分性认定的联动。
Access Now精选AI 评分6262 欧洲民间组织联名致信欧盟，要求施压加拿大 C-22 法案删除监控能力与数据留存授权
Access Now 等欧洲民间组织与专家联名致信欧盟委员会主席、多位委员及欧洲议会议员，要求欧盟在加拿大参议院完成对 C-22《合法访问法》审议前施压，删除该法案的监控能力授权和全面数据留存制度。
推荐理由：欧洲民间组织联名致信欧盟机构，梳理加拿大 C-22 法案对端到端加密与数据留存的具体要求及其对欧盟数据充分性认定的影响。
EDPB 欧洲数据保护委员会精选AI 评分6262 CNIL 因未尊重个人权利对 EXTIA 罚款 30 万欧元
EDPB 汇总消息显示，法国 CNIL 因 EXTIA 未尊重个人权利对其罚款 30 万欧元。同一页面还列出瑞典 DPA 因技术组织措施不足对 Miljödata i Karlskrona 罚款约 16 万欧元、荷兰 DPA 因非法自动化决策和画像信息不足对 Uber 罚款 8.2499 亿欧元，以及希腊 DPA 就涉及 E.E.T.A.A. S.A. 的数据泄露作出决定。
推荐理由：EDPB 汇总了法国 CNIL 对 EXTIA 的 30 万欧元罚款，可了解个人权利保障不足在 GDPR 下的处罚尺度。
ICO 英国信息专员办公室精选AI 评分6060 ICO 对 Police Scotland 处理主体访问请求展开调查
ICO 宣布正在调查 Police Scotland 处理主体访问请求（SAR）时是否遵守法律义务，重点是其是否违反英国 GDPR 第 12 条和第 15 条以及《数据保护法》第 45 条，包括是否在法定时限内回应请求。
推荐理由：ICO 对 Police Scotland 处理主体访问请求的合规调查已启动，读者可了解调查依据的条款与可能的处罚上限。
noyb精选AI 评分6262 SCHUFA 拒绝整改影子数据库，noyb 将提起诉讼
noyb 就 SCHUFA 的影子数据库发出停止侵权函，要求其整改，SCHUFA 在期限届满后公开声明拒绝相关指控。noyb 因此确认将提起禁令诉讼，并继续征集潜在集体诉讼的意向。noyb 主席 Max Schrems 称 SCHUFA 的论点荒谬，并表示集体诉讼的意向征集进展良好。
推荐理由：noyb 与 SCHUFA 围绕影子数据库的争议进入诉讼阶段，可了解信用评分数据处理的合规争点。
noyb精选AI 评分6262 noyb等19家民间组织联名致信欧盟，呼吁以自动隐私信号取代Cookie横幅
noyb等19家民间组织、学者和企业联名致信欧洲议会、理事会和欧盟委员会，呼吁支持《数字综合法案》中的GDPR第88b条，以具有法律约束力的自动隐私信号取代Cookie横幅。
推荐理由：19家民间组织联名要求欧盟保留GDPR第88b条自动隐私信号，读者可了解Cookie横幅争议的立法进展与行业游说格局。
AEPD 西班牙数据保护局精选AI 评分6262 西班牙数据保护局就内政部报告标注记者政治倾向启动依职权调查
西班牙数据保护局（AEPD）宣布就内政部通信办公室一份包含记者姓名及其所谓意识形态或政治倾向标注的报告启动依职权调查，以分析该个人数据处理的性质、范围、用途和法律依据，并称启动调查不代表预先认定存在违规。
推荐理由：西班牙数据保护局就内政部一份含记者政治倾向标注的报告启动依职权调查，可了解GDPR第9条对政治观点等特殊类别数据的处理限制。
EDPB 欧洲数据保护委员会精选AI 评分6262 CNIL 因健康数据泄露对 Hôpital Privé de la Loire 罚款 50 万欧元
CNIL 因健康数据泄露对 Hôpital Privé de la Loire 处以 50 万欧元罚款。
推荐理由：CNIL 对一家法国私立医院开出 50 万欧元罚单，可了解健康数据泄露在 GDPR 下的处罚尺度。
DPC 爱尔兰数据保护委员会AI 评分2222 爱尔兰 DPC 欢迎对 Brown Thomas Arnotts 营销违规案的起诉结果
爱尔兰数据保护委员会（DPC）对 Brown Thomas Arnotts Limited 营销违规案的起诉在都柏林都市地区法院审结，该公司就 21 项指控中的 5 项样本指控认罪，涉及违反 2011 年第 336 号法定文书第 13 条。
DPC 爱尔兰数据保护委员会精选AI 评分7171 DPC 就 HSE 纸质记录处理作出最终决定，罚款 64.5 万欧元
DPC 公布对 HSE 纸质记录处理调查的最终决定，罚款总额 645,000 欧元，并作出谴责和多项整改命令。
推荐理由：DPC 对 HSE 纸质医疗记录存储问题的处罚决定，展示了 GDPR 存储限制与完整性条款在实体档案场景中的适用方式。
SOMI 荷兰市场信息研究基金会AI 评分1515 SOMI App 推出网页版，可行使 GDPR 权利并管理个人数据
SOMI App 现已上线网页版，用户可通过 app.somi.nl 用邮箱或手机号登录，行使 GDPR 权利、收集和删除企业持有的个人数据、排查潜在数据泄露并管理数字足迹。用户可通过连接好友、验证身份等方式赚取 HT，用于上述数据操作。10 月 31 日前完成手机号验证可获赠 Silver Package，用户还可在应用内随时管理邮件和电话通信的同意偏好。
noyb精选AI 评分7878 奥地利最高法院裁定 CRIF 非法收集数百万人数据，集体诉讼通道打开
奥地利最高法院在多项民事程序中裁定，信用机构不得将从地址出版商处获取的、用于营销目的的个人数据用于信用评估，违反 GDPR 的目的限制原则。noyb 表示这一判决强化了其计划中的集体诉讼前景，受影响者现可登记参与，若胜诉预计每人可获约 500 欧元赔偿。
推荐理由：奥地利最高法院确认地址数据不得用于信用评估，为受影响者参与集体诉讼提供了依据。
noyb精选AI 评分7878 noyb 就 SCHUFA 影子数据库发出停止函并开放集体诉讼意向名单
noyb 已向德国信用信息机构 SCHUFA 发出停止函，要求其停止在保留期后继续存储数据，并在 GDPR 第 15 条查阅请求中向数据主体提供历史数据，否则将提起禁令诉讼。
推荐理由：noyb 以停止函和集体行动意向名单推进 SCHUFA 影子数据库争议，读者可了解德国信用评分机构的数据留存与查阅权问题。