GDPR执法明显加速：2026年第二季度罚款达2.2588亿欧元

Finbold于2026年8月20日发布的研究显示，GDPR执法在今年第二季度明显提速。数据保护机构在4月至6月期间开出的罚款总额达到225,879,175欧元（约合2.6059亿美元），较第一季度的6818万欧元（约合7363万美元）增长约230%。这使2026年上半年累计罚款达到约2.95亿欧元（约合3.405亿美元）。

按整个季度计算，企业平均每天承担约**248万欧元（约合286万美元）**的GDPR罚款。

荷兰贡献近一半罚款总额

在Finbold汇总的国家数据中，荷兰以1.0025亿欧元位居第一，占报告总额的近49%。法国以5200万欧元紧随其后，意大利和英国的罚款总额分别约为4550万欧元和1800万欧元。

荷兰的统计数字几乎全部受到一宗重大案件推动：Yango网约车应用运营商MLU B.V.被罚1亿欧元。MLU B.V.是Ridetech International B.V.的法律继承实体。荷兰数据保护局认为，来自芬兰和挪威的用户及司机个人数据被传输至俄罗斯，却没有获得充分保护，并要求在不具备符合GDPR要求的保障措施前停止相关传输。

Yango案件为何值得关注

这宗案件凸显了国际数据传输中的一个关键问题：仅仅使用欧盟标准合同条款（Standard Contractual Clauses，简称SCC），并不代表所有合规风险都已解决。

现有报道显示，荷兰监管机构还考虑了俄罗斯方面可能接触加密密钥，以及荷兰与俄罗斯之间的共同管理安排等因素。这些情况可能增加数据被访问、识别或重新识别的风险。

荷兰数据保护局的指导意见指出，向欧洲经济区以外的“第三国”传输个人数据，必须建立在充分保护水平、适当保障措施或特定例外情形之上。SCC可以作为一种保障工具，但企业仍需证明，在具体传输环境下，这些保障能够有效发挥作用。

法国的大额罚款集中于安全失误

法国第二季度的罚款总额为5200万欧元，其中包括多宗重大案件。FREE MOBILE因重大数据泄露被罚2700万欧元，其母公司FREE另被罚1500万欧元；IQVIA Operations France则因健康数据泄露被罚1500万欧元。

这些案件表明，当企业未能保护敏感信息或未能维持有效的安全控制时，财务风险可能迅速扩大。如果数据处理和安全责任分散在同一集团的不同公司之间，监管处罚也可能波及关联企业。

意大利罚款由银行数据保护案件主导

意大利累计罚款达到4550万欧元。其中，规模最大的是对Intesa Sanpaolo处以的3180万欧元罚款，原因是该行在保护客户银行数据方面存在不足。

Poste Italiane和PostePay也分别被罚662万欧元和588万欧元，涉及银行应用管理方面的失误。

这些案件显示，金融机构尤其需要关注访问控制、数据治理以及数字服务流程，确保客户信息不会因内部管理缺陷而暴露。

Reddit案件凸显年龄验证风险

英国信息专员办公室（ICO）对Reddit处以**1447万英镑（约合1661万欧元）**罚款，原因是其年龄验证措施不足，并且违法处理了儿童数据。

这宗案件说明，GDPR执法重点并不局限于数据泄露或国际传输。对于处理儿童信息的平台而言，企业还必须证明年龄相关控制措施有效，并确保相关数据处理具有合法依据、符合比例原则并提供适当保护。

哪些违规行为和行业最常见？

Finbold的审查显示，在其第二季度分析中，信息安全失误和缺乏数据处理合法依据几乎涵盖了所有重大罚款。

在金额最高的十宗罚款中，媒体和金融行业各出现三次；交通运输和能源行业则各出现两次，其中包括金额最大的荷兰Yango案件。

这一分布向企业发出了明确信号：GDPR风险并不只是IT部门需要解决的安全问题。监管机构同样关注个人数据使用的基础条件，包括处理是否合法、保护措施在现实环境中是否有效、跨境传输是否经得起审查，以及企业是否真正监督供应商、关联公司和其他合作方。

这些数字对企业意味着什么？

第二季度罚款大幅上升，并不意味着所有企业都面临同等程度的风险；同时，Finbold的数据是对已报告执法结果的汇总，而不是对未来罚款的预测。

不过，这些数据仍然释放出清晰的合规信号：重大处罚往往源于法律、运营、技术和组织控制之间的系统性缺口。处理个人数据的企业至少应重点检查以下领域：

• **合法处理依据：**记录每项主要数据处理活动的法律依据，并确认实际使用方式与所声明的依据一致。
• **安全控制：**检验访问权限、加密、监控和事件响应措施在现实环境中是否真正能够保护数据。
• **国际数据传输：**不要只依赖合同文字，还应评估数据目的地国家的实际法律和技术环境。
• **第三方监督：**与供应商及关联公司签订清晰的数据处理协议，明确责任分工，并建立验证和监督流程。
• **儿童数据与年龄保障：**确保年龄验证和儿童安全流程支持合法、适当且符合比例原则的数据处理。

Finbold对第二季度的总结是，GDPR执法已经成为数据治理薄弱企业必须正视的重大财务风险。最大的案件并非都源于孤立的技术故障，而是涉及合法处理、安全控制、国际传输保障和第三方监督等基础性合规问题。