执法与罚单
2 / 2
隐私快讯 | 加州检察长宣布与DoorDash就隐私侵犯达成37.5万美元和解
加州总检察 Rob Bonta 宣布与著名送餐平台 DoorDash 达成了一项金额为 37.5 万美元的和解协议，解决了该公司违反加州消费者隐私法案（CCPA）和加州在线隐私保护法（CalOPPA）的指控。
隐私快讯 | 欧盟正式启动 TikTok DSA 调查，或面临巨额罚款
欧盟已根据《数字服务法》（DSA）启动对TikTok的官方调查，以评估其是否符合儿童保护措施和在线内容规定。
隐私快讯 | Uber 因违反隐私法规被罚款 1000 万欧元
荷兰数据保护局（AP）已经对Uber罚款1000万欧元，原因是Uber没有全面公开他们的数据保留政策，并且阻碍了司机查看自己数据的权利。
案例判罚｜亚马逊法国物流公司因违规监控员工被处以3200万欧元罚款
法国国家信息自由委员会（CNIL）发现，亚马逊的跟踪系统（用于测量员工活动和绩效）违反了《一般数据保护条例》（GDPR）的原则，如数据最小化、合法处理、通知和透明度义务以及数据安全。
隐私快讯 | 关于海外直接营销执法那些事
最近的全球执法行动强调了在数字时代直接营销合规性的重要性。
Weee! 泄露 110 万用户数据，遭 CCPA 集体诉讼
美国亚裔生鲜电商 Weee! 遭黑客 IntelBroker 窃取 1130 万条订单与 110 万个账户信息，包含姓名、地址、电邮、电话与订单备注，2023 年 2 月起在暗网公开；随后的加州集体诉讼提出含违反 CCPA 在内的 13 项指控。
摩根士丹利 650 万美元数据泄露和解案
2023年11月16日，摩根士丹利就两起数据泄露事故与六州总检察长达成 650 万美元和解。事故源于退役数据中心时供应商未彻底销毁硬盘、以及 42 台可能含未加密数据的设备丢失。本文拆解供应商管理、硬件退役处置与全量加密中的数据删除风险与整改要求。
VPPA 与 Crunchyroll 1600 万美元和解案
索尼旗下动漫平台 Crunchyroll 被控未经同意向 Facebook 等第三方披露用户观看信息，违反美国《视频隐私保护法》（VPPA），2023 年以约 1600 万美元、每人约 30 美元和解。本文梳理 VPPA 的立法渊源与它为何成为像素追踪诉讼的利器。
美国 Do Not Call 免打扰政策：企业合规义务
美国《国家免打扰名单》由 FTC 管理、依 TSR 执行，违规拨打每通最高罚 50120 美元。本文讲清消费者的免打扰权、企业以卖家身份订阅名单取得 SAN 的义务、EBR 等六类豁免情形，以及非美国企业需先向 IRS 取得 EIN 才能访问名单的实操要点。
ICO 因非法电话营销罚 RHAP 6.5 万英镑
英国 ICO 2023年9月20日依 PECR 对 RHAP 处以 6.5 万英镑罚款，因其在 2021 年向已登记 TPS 的号码拨打 15288 通未经请求的营销电话。本文拆解 PECR 第 21/24 条、TPS 义务与出海直接营销的合规要点。
荷兰消费者组织对谷歌发起大规模隐私集体诉讼
2023年9月12日，荷兰消费者协会 Consumentenbond 与隐私保护基金会（FPPI）宣布对谷歌提起集体诉讼，指其为在线广告拍卖持续监控用户、非法跨境传输数据，要求向每位消费者赔偿750欧元。本文解析 GDPR 信息披露义务与有效同意要件，及 CNIL 5000万欧元罚款先例。
德州联邦法院对非法自动拨号开出1.46亿美元罚单
2023年8月15日，美国南德州联邦地区法院对 Rising Eagle 等被告因非法机器人电话开出总计约1.46亿美元罚款与两项永久禁令，认定其违反 TCPA、电话营销规则及多州消费者保护法。本文梳理判决要点、DNC 与 STIR/SHAKEN 认证框架，以及美国robocall执法脉络。
澳大利亚对 DoorDash 开出约200万澳元垃圾邮件罚单
2023年8月16日，澳大利亚通信与媒体管理局（ACMA）依 2003 年《反垃圾邮件法》对 DoorDash 罚款约 201 万澳元：它向已退订客户发出 56.6 万封促销邮件，又向准送货司机发出 51.5 万条无退订选项短信。本文解析涉澳判定、opt-in 与 opt-out 模式，以及邮件/短信营销的合规红线。
GDPR 合理利益：从两个执法案例看边界
GDPR 第 6(1)(f) 条的合理利益是最常用的合法性基础之一，也最易被滥用。本文用意大利 SA 警告 TikTok 定向广告、匈牙利处罚汽修店监控两个执法案例，说明企业援引合理利益处理个人数据时，须完成利益平衡评估、由控制者承担举证责任，并厘清与用户同意、反对权的关系。
Meta 因隐瞒数据用途在澳被罚 1400 万美元
2023 年 7 月 26 日，澳大利亚联邦法院判 Meta 两家子公司合计 2000 万澳元（约 1400 万美元）罚款，原因是 Onavo Protect VPN 隐瞒了向 Meta 共享用户数据用于商业分析。本文解析案情，以及应用商店隐私标签与匿名数据披露的两点教训。
加州 CPPA 启动联网汽车隐私执法调查
2023 年 7 月 31 日，加州隐私保护局 CPPA 依 CCPA 对联网汽车制造商及相关车载技术的数据隐私实践启动审查。本文梳理调查缘由、CCPA 与 CPPA 的关系、联网汽车持续收集数据带来的识别与泄露风险，以及车企在收集、使用、存储、销毁各环节应遵循的隐私原则。
挪威禁 Meta 行为定向广告，逾期日罚百万克朗
2023 年 7 月 17 日，挪威数据保护局 Datatilsynet 对 Facebook、Instagram 颁临时禁令，禁止 Meta 基于用户位置与网络行为投放个性化广告，逾期未改每日最高罚 100 万挪威克朗。本文说明禁令范围、与爱尔兰 DPC 3.9 亿欧元罚款的关系，以及对广告业务的启示。
追踪像素的隐私风险：FTC 两起健康数据罚单说起
2023年2至3月，FTC 因 GoodRx、BetterHelp 用第三方追踪像素把用户健康数据共享给 Facebook、Google 等广告方，分别罚款150万与780万美元。本文讲清追踪像素的原理、各法域合规要求，以及企业使用的三条红线。
谷歌 3.91 亿美元和解：位置追踪的透明度红线
2022年11月14日，谷歌就非法追踪用户位置与40个州达成3.91亿美元和解，为美国史上最大多州隐私和解案。本文梳理“位置历史”“网络和应用活动”“广告个性化”三处误导设计，以及弹窗提醒、位置专页、30天存储限制、四年合规报告等和解整改要求。
一次隐私投诉如何演变成 4.05 亿欧元 GDPR 罚单
2019年一名数据科学家向 Meta 报告 Instagram 在 HTML 源码泄露儿童联系方式，客服争辩未予重视，四个月后他转告爱尔兰 DPC，最终演变成4.05亿欧元罚款。本文按判决书拆解 Article 12/35/25/5/6 的处罚金额与逐条违规。
