大数跨境
首页
>
一家子公司违规，凭什么按整个集团的营业额罚款？
>

一家子公司违规，凭什么按整个集团的营业额罚款？

一家子公司违规，凭什么按整个集团的营业额罚款？ 远鸣出海
2026-11-02
8
导读：GDPR 的罚款上限，2025 年被欧盟法院重新解释了一遍。中资出海企业算风险敞口的方式，也得跟着改。
GDPR 的罚款上限，2025 年被欧盟法院重新解释了一遍。中资出海企业算风险敞口的方式，也得跟着改。

先看一个案子

丹麦。一家叫 ILVA A/S 的家具连锁企业，客户个人数据存得太久没删，被丹麦数据保护局查了。案子一路打到欧盟法院。
有意思的地方在罚款怎么算。
ILVA A/S 是 Lars Larsen 集团旗下的子公司。集团 2016/17 财年全球营业额 65.7 亿丹麦克朗，约 8.81 亿欧元。ILVA 自己 18 亿丹麦克朗，约 2.41 亿欧元。
被起诉的只有ILVA A/S 这一家公司。母公司不是被告，也没被指控任何违法行为。
一审法院按 ILVA 自己的营业额，罚了 10 万丹麦克朗，约 1.35 万欧元。
丹麦检察机关不服，一路上诉。理由是：罚款上限应该按整个集团的营业额算。
欧盟法院 2025 年 2 月 13 日给出答案：检察机关对。
判决之后，丹麦西部高等法院改判 20.09 万欧元。
这个案子编号 C-383/23，通常称 ILVA 案。它把 GDPR 罚款里一个长期模糊的问题钉死了。

三个数字，很多人记错

GDPR 第 83 条设两档罚款，都是“固定金额或全球年营业额百分比，取较高者”。
第一档，第83(4) 条：1000 万欧元，或全球年营业额 2%。
管的是内部管理类义务。没做处理活动记录、该设数据保护官没设、安全措施不到位、出了泄露没按规定通报，都落在这档。
第二档，第83(5) 条：2000 万欧元，或全球年营业额 4%。
管的是核心义务。处理原则与合法性基础（第 5、6、7、9 条）、数据主体权利（第 12 至 22 条）、跨境传输（第 44 至 49 条），都在这档。
还有第 83(6) 条：不执行监管机关命令，同样 2000 万欧元或 4%。
两个常见误记要说清。
一个是金额。不是“几千万欧元”，是 1000 万和 2000 万欧元。差一个数量级。
另一个是4% 的性质。4% 是上限，不是罚款比例。不是一违规就按全球营业额 4% 罚。
实际金额按第 83(2) 条列的 11 项因素逐案定：违规性质、严重程度、持续时间、受影响人数、故意还是过失、有没有采取减损措施、配合程度、既往违规记录等。还要满足第 83(1) 条的三项要求——有效、相称、具有威慑力。
同一组或相关联的处理活动违反多条，罚款总额不超过最重那条的上限，不叠加（第 83(3) 条）。

“全球营业额”是谁的营业额

这是全文最关键的一句：不是欧洲子公司的营业额，是整个经济实体的全球营业额，通常就是集团合并口径。
条文原文是 total worldwide annual turnover of the preceding financial year，上一财政年度的全球年总营业额。
序言第 150 条把话说得更明白：罚款针对“undertaking”时，这个 undertaking 要按《欧盟运行条约》第 101、102 条的意义理解。
第 101、102 条是欧盟竞争法条，反垄断那套。
竞争法里的undertaking，指经济实体，不是法律实体。哪怕法律上由好几家独立公司组成，只要构成一个统一的经济实体，就是一个 undertaking。
判断标准是母公司有没有对子公司施加“决定性影响”。
母公司全资或接近全资持股时，欧盟法院允许直接推定存在这种影响。举证责任转到母公司身上，要由母公司证明子公司确实独立决策。这条规则出自 Akzo Nobel 案，C-97/08 P，2009 年。
这套逻辑本来是反垄断罚钱用的。GDPR 通过序言第 150 条一句话，把它搬到了数据保护领域。

2025 年，欧盟法院把话钉死

ILVA 案判决主文的原文是这样：
Article 83(4) to (6) of the GDPR, read in the light of recital 150, must be interpreted as meaning that the term “undertaking” in those provisions corresponds to the concept of “undertaking”, within the meaning of Articles 101 and 102 TFEU, with the result that, where a fine for infringement of the GDPR is imposed on a controller of personal data which is or forms part of an undertaking, the maximum amount of the fine is to be determined on the basis of a percentage of the undertaking's total worldwide annual turnover in the preceding business year.
翻成中文：GDPR 第 83(4) 至 (6) 条结合序言第 150 条解释，“undertaking”一词对应《欧盟运行条约》第 101、102 条意义上的 undertaking 概念。因此，当对构成 undertaking 或属于 undertaking 一部分的数据控制者处以罚款时，罚款上限应按该 undertaking 上一营业年度全球年总营业额的百分比确定。
判决还有后半句，容易被忽略：认定实际罚款金额时，也必须考虑该undertaking 的真实经济能力，否则无法满足“有效、相称、威慑”三项要求。
意思是，集团营业额不只用来看天花板，也影响实际罚多少。

欧盟为什么要这么设计

逻辑不复杂。
一家跨国集团，如果只在欧洲设一个小法人，把资产和收入放在这个法人之外，按子公司营业额罚，罚不痛。
罚款要有效、要相称、要有威慑力，就必须看违规主体背后的真实经济能力。
这是 GDPR 序言第 150 条写下的立法意图。欧盟法院在 ILVA 案里也重申：只看被罚法人自身规模，威慑效果会落空。

对中资企业意味着什么

三条判断。
第一，上限不等于实际罚款。
ILVA 案里，上限按集团 8.81 亿欧元算，实际只罚 20 万欧元。监管机关不是见到违规就往 4% 顶格罚。罚款金额仍要按 11 项因素逐案裁量，还要过相称性检验。
第二，“欧洲子公司是独立法人”这个抗辩，空间已经很小。
ILVA 案里，被罚的只有子公司，母公司不是被告。欧盟法院照样裁定上限按集团营业额算。这直接堵掉了“只罚子公司就只算子公司的账”这条路。
第三，能做的不是隔离，是缓释。
要论证欧洲子公司在经营决策、数据治理、预算、人事上有真实、可举证的自主性，可以削弱“同一经济实体”的认定。
但这是风险缓释，不是防火墙。现有判例没有确认任何一种公司治理安排可以当然排除集团营业额。ILVA 之后，欧洲主体在治理上的独立性仍有意义，但不能再指望它彻底切断风险。
还有一层。EDPB 在 2021 年 WhatsApp 案的约束性决定里已经明确，集团营业额不只用来看上限，也可以进入实际罚款金额的计算，用来评价违法主体的真实经济能力。ILVA 判决主文后半句是同一个方向。

一个容易漏掉的口子

行政罚款之外，GDPR 第 82 条还允许数据主体就违规造成的损害提起民事索赔。
这条没有上限。
欧盟法院 2024 年 4 月 11 日的 juris 案（C-741/21）确认，第 82 条赔偿的评估标准不能照搬第 83 条的罚款标准。两套机制目的不同，不能互相套用。
对企业的含义是：一次违规，可能要同时面对监管罚款和集体索赔两条线。后者金额不确定，且随受影响人数放大。

结语

GDPR 罚款的口径问题，本质是一个主体认定问题。
法人在欧洲注册，账在集团合并。监管机关看的是后者。
中资企业进入欧洲，主体架构、治理安排、数据流向这三件事，最好在设计阶段就想清楚。等到被调查再补，成本会高得多。
主体可以设，责任不会跟着主体一起隔断。
资料来源
1. Regulation (EU) 2016/679（GDPR）全文，EUR-Lex：https://eur-lex.europa.eu/eli/reg/2016/679/oj
2. CJEU, ILVA, C-383/23, 2025 年 2 月 13 日判决（罚款上限按 undertaking 全球营业额确定）
3. CJEU, Deutsche Wohnen, C-807/21, 2023 年 12 月 5 日判决（罚款须有故意或过失；按 undertaking 计算上限）
4. CJEU, Akzo Nobel and Others v Commission, C-97/08 P, 2009 年 9 月 10 日判决（全资持股的决定性影响推定）
5. CJEU, juris, C-741/21, 2024 年 4 月 11 日判决（第 82 条赔偿不适用第 83 条罚款标准）
6. EDPB, Guidelines 04/2022 on the calculation of administrative fines under the GDPR
7. 欧盟委员会 Enforcement and sanctions 官方说明页
远鸣出海长期服务中国企业的全球化组织能力建设，覆盖海外用工合规、外派体系搭建、跨文化管理与跨境组织治理等。有具体问题，欢迎留言交流。
中国企业国际化，成事在人

【声明】内容源于网络
0
0
远鸣出海
黄渊明:《海外人力资源管理》畅销书作者，远鸣出海创始人；吴晓波频道“出海领航者班”实战导师；企业集团HR一号位，22年人力资源管理经验，10+年海外相关经验；曾任华为海外HRD、销服外派与用工负责人，顺丰国际 CHO；专注出海人力咨询培训
内容 507
粉丝 0
远鸣出海 黄渊明:《海外人力资源管理》畅销书作者，远鸣出海创始人；吴晓波频道“出海领航者班”实战导师；企业集团HR一号位，22年人力资源管理经验，10+年海外相关经验；曾任华为海外HRD、销服外派与用工负责人，顺丰国际 CHO；专注出海人力咨询培训
总阅读12.1k
粉丝0
内容507