全球贸易规则正在加速重塑。最新的政策与监管动向往往比过往经验更能影响企业的风险与机会。
他山之石，可以攻玉。通过即时解读最新政策监管变化与法律争议案例，我们可以更早洞见趋势，也能从他人的经验与教训中获得启示。把握讯息与判断上的时间差，也是一种一步领先。
关注本公众号，读懂世界正在发生什么。
二、监管机关认定的核心违法点
从 Garante 官方新闻稿看，监管机关认定的违法并非单一点状违规，而是一个复合型 GDPR 合规失效案例。新闻稿直接列出的问题包括：用户告知不足、缺少适当 DPIA、安全措施不足、数据保存政策不当、以及处理者（processor）指定存在不规则之处。监管机关还命令相关公司停止被质疑的数据处理，并按照要求整改数据保存安排。
从正式处罚决定看，Garante 最终认定该处理违反了 GDPR 第5、6、13、25、28、32、35条，以及意大利个人数据保护法典第122条。也就是说，本案同时涉及：
一是基本原则层面（合法性、透明度、存储限制、责任制/accountability）；
二是合法依据层面（无有效法律基础）；
三是告知义务层面；
四是隐私设计/默认隐私；
五是处理者与次级处理链条管理；
六是安全措施与DPIA治理机制。这说明监管机关不是把此案看作“单纯技术设置不当”，而是认定为一整套治理失败。
三、争议技术与法律焦点：ThreatMetrix 装置监测机制
监管机关命令两家公司停止通过 ThreatMetrix 应用机制收集与设备上“已安装和/或正在运行的应用使用情况”有关的数据，并要求在通知后 10日内停止该类处理；同时要求在 30日内明确用户数据保存期限并向监管机关作出有文件支持的反馈。可见，本案并非只有金钱处罚，还包含停止处理与限期整改的实质性行为命令。
从处罚决定的论证可见，监管机关特别强调：即使企业在支付服务或反欺诈场景中负有一般性安全义务，也不能自动推导出可广泛收集终端侧个人数据的权限。决定书明确指出，安全义务本身并不当然使“超出严格必要范围”的个人数据收集合法化。换言之，Garante 采取的是典型的 necessity + proportionality（必要性与比例性） 审查路径。
更关键的是，监管机关认为两家公司未证明其仅处理了实现反欺诈目标所绝对必要的数据，也未显示曾认真评估更温和、侵入性更低的替代方案。这与欧盟数据保护法中“privacy by design / by default”原则高度一致：企业不能仅以“安全”“风控”为名，就默认采集更广泛的终端信息。
四、用户告知、DPIA、处理者治理与数据保留问题
在信息透明度方面，监管机关认定用户获得的个人数据处理说明不充分，未能有效实现数据主体对自身数据的控制。决定书专门讨论了信息告知功能与透明原则之间的关系，表明此案中的信息披露并未满足 GDPR 对可理解、充分和可验证告知的要求。
在 DPIA 方面，企业虽在程序中表示已准备“更新且更详细的 DPIA”，但从监管机关最终认定看，这并未补足前期缺陷。决定书明确将未进行适当、事前的数据保护影响评估列为核心违法之一。这一点尤其重要，因为当处理涉及新技术、较高风险、终端监测、规模化用户群体时，DPIA 是欧盟合规的关键闸门。
在 processor / sub-processor 治理方面，监管机关认为公司在指定处理者时，未充分核验技术方案特征和所采取的技术组织措施是否适当，且合同文本中对相关特定处理活动记载不足，对次级处理者的约定也存在明显不完备之处。这表明，Garante 将供应链治理视为本案的重要失效环节，而非只盯住前端 App 权限设计。
在 数据保留方面，决定书指出，相关数据的删除流程事实上发生在 28个月后，而与之并行的内部反欺诈平台 PIAF 的保存期限上限为 24个月。监管机关认为，多出的4个月并未得到充分正当化，不能被解释为纯粹技术性删除缓冲期，因此违反了 GDPR 的存储期限限制原则。
五、公司抗辩逻辑与潜在诉讼路径
Poste Italiane 的核心抗辩逻辑有三层。第一，程序抗辩：公司称 Garante 作出决定时已超过法律规定的强制期限，因此程序上存在瑕疵。第二，实体抗辩：公司坚持其设备技术数据访问是为了部署反欺诈、反恶意软件安全措施，且符合法律要求。第三，体系性抗辩：公司称类似反欺诈装置此前还曾在另一监管争议中被认定具有合法性，并援引 TAR Lazio 于 2026年2月2日撤销意大利反垄断机关先前相关处罚决定 的事实为其背书。
不过，从公开材料看，公司的抗辩方向更接近于“支付安全监管逻辑”与“反欺诈合规逻辑”，而 Garante 则坚持“数据最小化”“透明度”“合法基础”“DPIA”“处理链治理”的 GDPR 中心逻辑。二者在规范目标上并非完全一致，因此即便某种技术手段在反欺诈或支付监管语境中具备一定合理性，也不代表其在数据保护法语境中当然合法。这个张力正是本案最值得关注的法理冲突点。
六、罚款幅度与监管信号
Garante 在量罚时考虑了多项因素，包括：违法涉及 GDPR 基本原则；处理方式具有较强侵入性，可能接触到能够揭示受特别保护信息的设备数据；受影响主体数量高达数百万用户；公司存在明显过失或重大疏忽；但同时也考虑了其在程序中作出的某些整改、与监管合作程度，以及此前无同类前科。
值得注意的是，Garante 还明确考虑了 Postepay 2024年度营业额 等经济状况，以满足 GDPR 第83条所要求的有效、相称、具有威慑性原则。结合 Poste Italiane 官方披露的 2024 年集团营收 126亿欧元、调整后 EBIT 29.6亿欧元、净利润 20亿欧元 来看，此次 1,250.1万欧元罚款对集团整体财务并非系统性冲击，但对其 合规声誉、产品设计、App 权限策略和诉讼成本 会产生实质影响。
从更广的意大利监管背景看，Garante 在 2026 年已对金融与数据密集型机构采取多起高额处罚。例如 Reuters 报道称，2026年3月其对 Intesa Sanpaolo 一起数据泄露事件罚款 3180万欧元，另一起关于客户数据违法处理/迁移的案件罚款 1760万欧元。这表明意大利监管在银行、支付、平台化金融机构领域正持续强化执法，尤其关注“大规模用户”“安全措施”“内部控制”“透明告知”“客户画像与终端数据”的交叉风险。
七、趋势判断
从执法趋势看，本案释放出一个清晰信号：欧洲监管机构正在把审查重点从传统的“泄露后责任”进一步前移到产品设计阶段的合法性审查。也就是说，不必发生外部数据泄露，只要企业在应用架构、权限要求、数据保留和治理文件上存在系统性缺陷，同样可能面临高额处罚与停止处理命令。
同时，本案也显示出监管对移动端反欺诈技术的态度更趋严格。未来企业若继续使用类似 ThreatMetrix 的终端监测工具，预计将需要更强的合法性说明、更细化的最小化论证、更严谨的 DPIA 和更透明的用户披露，否则在欧盟尤其金融科技领域将面临更高执法风险。该判断属于对现有公开执法逻辑的趋势性推断。
世界纷繁复杂，在信息过载的时代，能够读完一篇文章，本身就是一种选择与耐心。感谢您读到这里。
施吉龙（Jilong Shi）
具有中、美（加州）两国律师资格｜CPA｜CIPP/E｜CTA｜CPV
（注：目前美国加州律师状态为Inactive,为非执业状态）
📧 Email: duoyunyu@gmail.com
💬 WeChat: duoyunyu