不過，單看總數未必足夠。第二季最大宗的Yango個案涉及1億歐元，約佔季度已公布罰款總額的44%。換句話說，一宗跨境資料傳輸案件，已大幅影響整個季度的總額。

第二季最大宗GDPR罰款個案

荷蘭：Yango相關公司被罰1億歐元

季度內最大宗罰款由荷蘭數據保障局（Autoriteit Persoonsgegevens）向 MLU B.V. 發出。MLU B.V.是Yango叫車應用程式背後的荷蘭公司。荷蘭監管機構表示，與芬蘭及挪威用戶有關的個人資料，在未有足夠GDPR保障措施下被轉移至俄羅斯；當局亦要求公司在不符合GDPR要求的情況下停止相關傳輸。

這宗案件反映，跨境傳送個人資料並不是簽好文件就算數。企業需要評估所採用的傳輸機制，以及額外保障措施在實際操作中是否仍然有效，尤其當資料會送往第三國時。對企業而言，跨境資料流向因此不再只是法律部門的文書工作，而是日常營運風險的一部分。

法國：Free Mobile及Free合共被罰4,200萬歐元

法國監管機構向電訊公司 Free Mobile 及 Free 合共發出 4,200萬歐元 罰款。其中，Free Mobile單一個案被罰 2,700萬歐元，令用戶資料保安成為第二季最受關注的執法重點之一。

意大利：Intesa Sanpaolo被罰3,180萬歐元

意大利數據保障機構就客戶銀行資料保障方面的不足，向 Intesa Sanpaolo 發出 3,180萬歐元 罰款。

銀行及金融機構處理大量身份、戶口及交易資料，必須在資料存取權限、資訊保安及合法處理方面維持嚴格控制。這宗罰款再次突顯金融業面對的私隱執法風險。

英國：Reddit被罰1,447萬英鎊

英國資訊專員辦公室（ICO）向 Reddit 罰款 1,447萬英鎊，理由是平台違法使用兒童個人資料，亦未有採取穩健的年齡核實措施。ICO表示，Reddit的不足令兒童面對風險；Reddit其後就金錢處罰通知提出上訴。

個案說明，網上平台如果無法證明自己有有效的年齡保障機制，並以合適方式處理未成年人士資料，兒童私隱責任可以帶來相當沉重的執法後果。

罰款急升背後的主要問題

第二季多宗個案反覆出現兩大主題：資料保安失效，以及 在欠缺足夠法律依據下處理個人資料。Yango個案則加入第三項高風險因素：未有有效保障的國際資料傳輸。

這幾類問題往往互相牽連。企業即使備有一套完整私隱政策，如果實際控制措施未能保護資料、處理目的沒有合法依據，或者資料仍然流向保障水平不足的司法管轄區，依然可能面對監管處分。

哪些行業最容易中招？

根據相關執法分析，媒體及金融業合共佔第二季十大罰款個案中的六宗。這個分布反映，凡是大規模處理個人資料、直接面向消費者，或者同時受廣告及金融規管的行業，都可能面對較高風險。

電訊業亦因法國Free的個案而成為焦點；科技及平台企業則要面對跨境資料傳輸和兒童資料處理方面的監管審查。這並不代表相關行業的每間公司都會被罰，但顯示監管機構較容易在這些行業找到高影響力的資料處理活動，以及相應的合規後果。

在歐洲營運的企業應優先做好甚麼？

第二季的執法走勢顯示，GDPR合規不應只由私隱團隊獨力負責，而應視為一項財務及營運風險，並由管理層清楚分工。企業可優先檢視以下五方面：

• 逐項核對合法依據： 為每項重要資料處理活動記錄法律依據；如需要取得同意，亦要確認同意確實有效。
• 實測保安控制： 維持足夠的技術及組織措施保護個人資料，並驗證措施在實際環境中有效，而不只是文件上寫得完整。
• 加強年齡保障： 找出兒童可能使用的服務，採取合乎比例的年齡核實措施，並限制違法使用未成年人資料的情況。
• 重新檢視跨境傳輸： 盤點所有涉及第三國的資料傳送，進行傳輸風險評估，並採取在接收地仍然有效的保障措施。
• 提升高風險項目的管理層透明度： 讓董事會及高級管理層了解重大資料傳輸、敏感資料、兒童資料，以及大規模分析或消費者資料處理活動。

總結：私隱失誤可以迅速變成重大商業負債

2026年第二季的 2.259億歐元GDPR罰款，不只是季度數字變大，而是同時涵蓋跨境資料傳輸、資料保安、合法處理及兒童私隱等多種風險。第二季罰款較第一季高約230%，上半年總額亦接近2.95億歐元，對在歐洲營運的企業而言，最清楚的訊息是：私隱失誤可以在短時間內變成重大的財務及營運負擔。

當然，解讀數字時仍要留意，一宗超大型個案已明顯推高季度總額。即使如此，個案涉及的問題範圍仍然指向一致方向：企業必須持續、具文件證據地監督合法處理、資料保安、兒童資料保障，以及國際資料傳輸安排。

不過，單看總數未必足夠。第二季最大宗的Yango個案涉及1億歐元，約佔季度已公布罰款總額的44%。換句話說，一宗跨境資料傳輸案件，已大幅影響整個季度的總額。

第二季最大宗GDPR罰款個案

荷蘭：Yango相關公司被罰1億歐元

季度內最大宗罰款由荷蘭數據保障局（Autoriteit Persoonsgegevens）向 MLU B.V. 發出。MLU B.V.是Yango叫車應用程式背後的荷蘭公司。荷蘭監管機構表示，與芬蘭及挪威用戶有關的個人資料，在未有足夠GDPR保障措施下被轉移至俄羅斯；當局亦要求公司在不符合GDPR要求的情況下停止相關傳輸。

這宗案件反映，跨境傳送個人資料並不是簽好文件就算數。企業需要評估所採用的傳輸機制，以及額外保障措施在實際操作中是否仍然有效，尤其當資料會送往第三國時。對企業而言，跨境資料流向因此不再只是法律部門的文書工作，而是日常營運風險的一部分。

法國：Free Mobile及Free合共被罰4,200萬歐元

法國監管機構向電訊公司 Free Mobile 及 Free 合共發出 4,200萬歐元 罰款。其中，Free Mobile單一個案被罰 2,700萬歐元，令用戶資料保安成為第二季最受關注的執法重點之一。

意大利：Intesa Sanpaolo被罰3,180萬歐元

意大利數據保障機構就客戶銀行資料保障方面的不足，向 Intesa Sanpaolo 發出 3,180萬歐元 罰款。

銀行及金融機構處理大量身份、戶口及交易資料，必須在資料存取權限、資訊保安及合法處理方面維持嚴格控制。這宗罰款再次突顯金融業面對的私隱執法風險。

英國：Reddit被罰1,447萬英鎊

英國資訊專員辦公室（ICO）向 Reddit 罰款 1,447萬英鎊，理由是平台違法使用兒童個人資料，亦未有採取穩健的年齡核實措施。ICO表示，Reddit的不足令兒童面對風險；Reddit其後就金錢處罰通知提出上訴。

個案說明，網上平台如果無法證明自己有有效的年齡保障機制，並以合適方式處理未成年人士資料，兒童私隱責任可以帶來相當沉重的執法後果。

罰款急升背後的主要問題

第二季多宗個案反覆出現兩大主題：資料保安失效，以及 在欠缺足夠法律依據下處理個人資料。Yango個案則加入第三項高風險因素：未有有效保障的國際資料傳輸。

這幾類問題往往互相牽連。企業即使備有一套完整私隱政策，如果實際控制措施未能保護資料、處理目的沒有合法依據，或者資料仍然流向保障水平不足的司法管轄區，依然可能面對監管處分。

哪些行業最容易中招？

根據相關執法分析，媒體及金融業合共佔第二季十大罰款個案中的六宗。這個分布反映，凡是大規模處理個人資料、直接面向消費者，或者同時受廣告及金融規管的行業，都可能面對較高風險。

電訊業亦因法國Free的個案而成為焦點；科技及平台企業則要面對跨境資料傳輸和兒童資料處理方面的監管審查。這並不代表相關行業的每間公司都會被罰，但顯示監管機構較容易在這些行業找到高影響力的資料處理活動，以及相應的合規後果。

在歐洲營運的企業應優先做好甚麼？

第二季的執法走勢顯示，GDPR合規不應只由私隱團隊獨力負責，而應視為一項財務及營運風險，並由管理層清楚分工。企業可優先檢視以下五方面：

• 逐項核對合法依據： 為每項重要資料處理活動記錄法律依據；如需要取得同意，亦要確認同意確實有效。
• 實測保安控制： 維持足夠的技術及組織措施保護個人資料，並驗證措施在實際環境中有效，而不只是文件上寫得完整。
• 加強年齡保障： 找出兒童可能使用的服務，採取合乎比例的年齡核實措施，並限制違法使用未成年人資料的情況。
• 重新檢視跨境傳輸： 盤點所有涉及第三國的資料傳送，進行傳輸風險評估，並採取在接收地仍然有效的保障措施。
• 提升高風險項目的管理層透明度： 讓董事會及高級管理層了解重大資料傳輸、敏感資料、兒童資料，以及大規模分析或消費者資料處理活動。

總結：私隱失誤可以迅速變成重大商業負債

2026年第二季的 2.259億歐元GDPR罰款，不只是季度數字變大，而是同時涵蓋跨境資料傳輸、資料保安、合法處理及兒童私隱等多種風險。第二季罰款較第一季高約230%，上半年總額亦接近2.95億歐元，對在歐洲營運的企業而言，最清楚的訊息是：私隱失誤可以在短時間內變成重大的財務及營運負擔。

當然，解讀數字時仍要留意，一宗超大型個案已明顯推高季度總額。即使如此，個案涉及的問題範圍仍然指向一致方向：企業必須持續、具文件證據地監督合法處理、資料保安、兒童資料保障，以及國際資料傳輸安排。