柏林数据保护专员对一家柏林电子商务集团处以巨额罚款。
柏林负责数据保护和信息自由（BlnBDI）对该集团旗下子公司处以52.5万欧元罚款（尚未生效）。处罚原因为企业数据保护官存在利益冲突：该职位本应独立监督决策，但当事人却在其他职能中亲自参与了相关决策。
企业数据保护官不得卷入利益冲突
设置企业数据保护官视企业情况而定，可能是自愿行为也可能是强制要求（如持续从事个人数据自动化处理的人员至少20人时）。其核心职责是就数据保护任务提供咨询并监督法规遵守情况。
《通用数据保护条例》（DSGVO）第38条第6款明确规定，担任此职者不得因其他任务陷入利益冲突。若具有领导职能且对个人数据处理有重大决策权的人员被任命为数据保护官，即构成“自我监督”，属于违规情形。
数据保护官同时担任服务提供商公司总经理
本案中，涉事子公司的内部数据保护官同时兼任两家服务公司的总经理。这两家公司受该企业委托处理个人数据，主要从事客户服务和订单执行，而该数据保护官的职责正是监督这些受托业务的数据合规性。
柏林州数据保护专员指出：“数据保护官必须监督由其本人作为总经理管理的服务公司对数据保护法律的遵守情况。”这种双重角色导致监管失效。
尽管监管机构于2021年已发出警告，但违规行为仍持续存在，因此今年再次检查后决定处以罚款。BlnBDI代理部门负责人Volker Brozio强调：“数据保护官不能既监督合规又参与决策，自我控制违背了其作为独立机构的职能。”
更多相关内容：
- 数据保护违规罚款——未来如何计算？
- 违反GDPR：Instagram需支付4.05亿欧元罚款
- 2021年，GDPR罚款首次超过十亿欧元
52.5万欧元罚款——尽管已发出警告，违规行为仍持续存在
罚款金额综合考量了多重因素：集团上一财年数百万欧元的营业额、数据保护官作为关键联络人的重要作用，以及在警告后仍故意维持违规状态近一年等加重情节。同时，该公司与监管机构广泛合作且在程序期间纠正了违规行为，起到了减轻处罚的作用。
Volker Brozio建议企业审查集团结构中业务数据保护负责人的双重角色，特别是在各公司之间存在委托处理或共同责任时，务必确保不存在利益冲突。