GDPR執法急升230%，第二季罰款總額達2.26億歐元

Finbold於2026年8月20日公布的研究顯示，歐洲GDPR（《一般資料保障條例》）執法力度在第二季明顯加快。由4月1日至6月30日，監管機構合共發出225,879,175歐元（約2.606億美元）罰款，平均每日約248萬歐元，或每星期約1,736萬歐元。

相比第一季約6,818萬歐元，第二季罰款金額按季增加約230%；2026年上半年累計罰款亦達約2.95億歐元（約3.405億美元）。

最大宗罰款來自邊幾個國家？

荷蘭：Yango個案約1億歐元

第二季最大單宗處罰來自荷蘭。荷蘭資料保護局（Autoriteit Persoonsgegevens）向Yango叫車App的營運商Ridetech International B.V.（資料亦稱MLU B.V.）發出約1億歐元、報道列為1億零25萬歐元的罰款。

當局認為，Yango在把個人資料轉移至俄羅斯時，未有提供足夠的第三國轉移保障；在未能符合GDPR要求的情況下，當局亦下令停止相關資料轉移。

法國：兩家電訊商合共被罰4,200萬歐元

法國對Free Mobile及Free合共處以4,200萬歐元罰款，其中Free Mobile單獨被罰2,700萬歐元。

意大利：Intesa Sanpaolo被罰3,180萬歐元

意大利銀行Intesa Sanpaolo則因保障客戶銀行資料方面存在不足，被罰3,180萬歐元。

英國：Reddit涉及兒童私隱問題

英國資訊專員辦公室（ICO）向社交平台Reddit處以1,447萬英鎊罰款，折合約1,661萬歐元。調查指，Reddit在兒童私隱保障方面存在問題，包括年齡驗證措施不足，以及未有合法處理兒童個人資料。Reddit已就金額相關的處罰通知提出上訴。

邊類違規最常見？

研究顯示，保安失誤，以及在沒有充分法律依據下處理個人資料，是主要執法原因。Yango個案亦反映，若企業未能妥善處理跨境資料轉移，尤其涉及第三國，後果可以非常嚴重。

媒體及金融業合共佔第二季十大罰款個案中的六宗，顯示數據密集、直接面向消費者，以及受高度監管的行業，面對的GDPR風險尤其突出。

對企業有咩啟示？

今次數據反映，GDPR已經唔單止係法律部門的合規事項，而係企業需要由管理層正視的財務及營運風險。單是一宗跨境資料轉移個案，涉及金額就接近該季度全部已報告罰款的一半。

在歐洲營運的企業，應優先檢視以下範疇：

• 為每一項個人資料處理活動記錄清楚合法依據；如需要取得同意，應確保同意有效；
• 加強技術及組織層面的資料保安控制；
• 建立有效的年齡保障機制，並為兒童資料提供更高程度保護；
• 針對第三國資料轉移採用站得住腳的機制，進行轉移風險評估並落實保障措施，尤其要審視涉及俄羅斯等司法管轄區的轉移；以及
• 由董事局或高級管理層監督媒體、科技、金融服務及電訊等高風險資料處理活動。

不過，現有資料中的部分公司級別金額，主要透過一則社交媒體帖文轉述，因此各國及企業的細項數字應保留一定審慎態度。至於第二季總額及按季升幅，則由Finbold的研究直接提出。