即将到来的截止日期
2026年12月
Apple ATT prompt changes for EU apps in iOS 27.22026年12月10日
Australia Children's Online Privacy Code due to be registered2026年12月10日
Australia: privacy policies must disclose automated decision-making2027年1月1日
Colorado automated decision-making law (SB 26-189) takes effect2027年1月1日
Delaware privacy law amendments (HB 380) take effect2027年1月1日
Louisiana Data Privacy Act takes effect
最新隐私罚款、诉讼与规则
最后更新
没有符合搜索条件的案例。
- 规则或截止日期即将生效
India DPDP Rules: core data fiduciary obligations take effect
India Ministry of Electronics and IT (MeitY), 印度, 其他隐私法规
原因
这是2025年11月公布的DPDP规则的第三阶段。通知与同意标准、数据受托人义务、儿童数据规则、数据主体权利以及跨境传输规则，在规则公布18个月后开始适用。
结果
2027年5月13日起生效
原因
HB 351为阿拉巴马州带来一部综合性隐私法，适用于处理超过25,000名消费者数据的企业，或超过25%收入来自出售个人数据的企业。由州总检察长执法，设有45天纠正期，每项违规最高罚款15,000美元。
结果
2027年5月1日起生效
原因
使用透明度与同意框架（TCF）的应用和联网电视必须运行TCF 2.4。网站已于2026年10月23日完成切换。
结果
2027年2月23日起适用于应用和联网电视
- 规则或截止日期即将生效
California Opt Me Out Act: browsers must offer an opt-out signal
California legislature, 加利福尼亚州, CCPA / CPRA
原因
开发网页浏览器的公司必须提供一项设置，用于发送Global Privacy Control等退出偏好信号。
结果
2027年1月1日起生效
- 规则或截止日期即将生效
CCPA automated decisionmaking technology (ADMT) rules apply
California Privacy Protection Agency, 加利福尼亚州, CCPA / CPRA
原因
使用自动化决策技术对消费者作出重大决定的企业，必须遵守CCPA ADMT法规。根据同一法规，风险评估证明须在2028年4月1日前提交，网络安全审计认证则按收入规模在2028年4月至2030年4月之间提交。
结果
2027年1月1日起生效
- 规则或截止日期即将生效
Oklahoma consumer data privacy law (SB 546) takes effect
Oklahoma Legislature, 俄克拉何马州, 美国各州法律
原因
SB 546适用于处理100,000名俄克拉何马州消费者数据的控制者；如果一半以上收入来自数据销售，门槛为25,000名。该法只把以金钱为对价的交易算作销售，不要求响应通用退出信号，并永久保留30天纠正期。
结果
2027年1月1日起生效
原因
SB 386（Act 502）适用于收入超过2500万美元的企业，处理75,000名居民、家庭或设备数据的企业，或50%收入来自出售数据的企业。出售敏感数据或生物识别数据前，必须发出专门通知。
结果
2027年1月1日起生效
- 规则或截止日期即将生效
Delaware privacy law amendments (HB 380) take effect
Delaware General Assembly, 特拉华州, 美国各州法律
原因
HB 380将《特拉华州个人数据隐私法》的适用门槛从35,000名消费者降至10,000名，新增神经数据等敏感数据类别，并要求在向第三方披露数据前签订合同并开展尽职调查。消费者还可以要求获取接收其数据的第三方名单。
结果
2027年1月1日起生效
- 规则或截止日期即将生效
Colorado automated decision-making law (SB 26-189) takes effect
Colorado General Assembly, 科罗拉多州, 美国各州法律
原因
SB 26-189废止并取代2024年的《科罗拉多州人工智能法》。当自动化决策对重大决定产生实质影响时，部署者必须事先告知消费者；出现不利结果后，必须作出解释，提供更正机会，并在商业上合理时提供人工复核。
结果
2027年1月1日起生效
- 规则或截止日期即将生效
Australia: privacy policies must disclose automated decision-making
Australian Parliament (Privacy and Other Legislation Amendment Act 2024), 澳大利亚, 其他隐私法规
原因
根据新的APP 1.7至1.9，使用计算机程序作出可能对个人产生重大影响的决定的实体，必须在隐私政策中说明使用了哪些个人信息、作出哪类决定。这只是一项透明度义务，不包含复核权。
结果
2026年12月10日起生效
原因
OAIC必须在2026年12月10日前为儿童可能访问的社交媒体及其他在线服务登记一部《儿童在线隐私守则》。守则要求只收集严格必要的信息、以儿童最大利益行事、采取合理的年龄核验措施、强化同意和删除权利，并限制直接营销。
结果
须在2026年12月10日前登记；生效日期尚未确定
- 规则或截止日期即将生效
Apple ATT prompt changes for EU apps in iOS 27.2
Apple, 欧盟, 平台政策
原因
从iOS 27.2起，在德国、法国、意大利、波兰和罗马尼亚分发的应用只能使用Apple重新设计的跟踪提示。新提示去掉了警告式措辞，并增加了一个查看更多信息的链接。德国竞争监管机构在2026年8月的决定中给Apple四个月时间推出该提示，即2026年12月中旬前后。
结果
德国期限为2026年12月中旬
€8.05亿
原因
Facebook安卓应用读取手机相册中的照片、视频及其元数据来推荐帖子。该功能默认开启，且未取得专门同意。
结果
罚款8.05亿欧元，并须在60天内将该功能改为默认关闭，同时单独征求同意
€1100万
原因
自助式“Download My Data”工具遗漏了部分个人数据，或只提供摘要，且未告知用户。
结果
罚款1100万欧元，予以训诫，并责令在三个月内整改；Match表示将提起上诉
US$297.5万
原因
FedEx声称不出售或共享个人数据，但同时使用广告跟踪器开展跨情境行为广告。它也未响应退出偏好信号，其Cookie控制和请求表单对跟踪器无效。
结果
罚款297.5万美元，并须按季度清点跟踪器、测试退出功能
原因
会话回放工具需要事先取得同意，且同意横幅必须在第一层明确提到会话回放。
结果
最终建议已发布
US$180万
原因
Lyft出售或共享乘客数据用于应用内定向广告，却没有提供应用内退出选项。已登录用户必须通过链接跳转到网页表单，并重新填写公司已掌握的信息。
结果
民事罚款180万美元，须提供应用内退出选项并通知加州居民
原因
使用透明度与同意框架（TCF）的同意管理平台必须在该日期前在网站上实施TCF 2.4披露要求。
结果
2026年10月23日起适用于网站
€700万
原因
即使用户已拒绝跟踪，Fnac应用中的一个跟踪器仍会把用户标识符和浏览过的商品发送给第三方推荐服务。
结果
罚款700万欧元，并责令在一个月内整改同意机制，否则每天罚款10,000欧元
- 规则或截止日期
EU Council agrees its Digital Omnibus position on cookies
Council of the EU, 欧盟, ePrivacy（Cookie 规则）
原因
六种Cookie用途将不再需要同意；用户拒绝后，网站须等待四个月才能再次征求同意。该提案尚未成为法律。
结果
理事会已达成立场；仍需与欧洲议会协商
US$600万
原因
2023年的一次数据泄露暴露了近700万名客户的数据，其中包括超过855,000名加州居民。加州还依据其《基因信息隐私法》，反对在破产程序中未经单独同意出售客户基因数据。
结果
在破产法院达成600万美元和解，尚待批准
€4.03亿
原因
2018年5月至2020年2月期间，Google的“网络与应用活动”、“位置记录”和“位置精确度”设置非法处理用户位置数据，且透明度不足。用户可能不知道自己的位置被用于定向广告或推测兴趣，相关数据保存时间也过长。
结果
罚款共4.03亿欧元；责令Google在6个月内使数据处理合规
US$36,400
原因
这家弗吉尼亚州数据经纪商出售消费者个人信息，却未在2025年截止日期前在加州数据经纪商登记处登记。
结果
罚款36,400美元，须公布隐私权利请求数据，并通过DROP处理删除请求
R$1.538亿
原因
TikTok在未登录状态的信息流和注册环节处理儿童及青少年数据，均无有效法律依据。防止13岁以下儿童注册的唯一措施是用户自报年龄。
结果
因五项LGPD违规被罚款1.537亿雷亚尔，并被责令删除数据、提交合规计划
€8.25亿
原因
2018年至2022年间，Uber的软件以涉嫌欺诈或评分过低为由，自动暂停或永久停用司机账户，没有任何人工复核。司机也未就这种自动化决策得到充分告知。
结果
罚款8.2499亿欧元；Uber表示将提出异议
US$4亿
原因
美国司法部在FTC调查后于2024年8月提起诉讼，指控TikTok明知而允许13岁以下儿童创建账户，未经家长同意收集其数据，未响应家长的删除请求，并违反了2019年的FTC同意令。
结果
以4亿美元和解：现付3亿美元，另1亿美元在2019年Musical.ly同意令撤销后支付。未认定责任，也没有新的禁令救济。
US$275,000
原因
2018年至2022年间，TaxAct网站上的跟踪技术在未告知的情况下，将收入、退税和受抚养人等纳税人信息发送给广告合作伙伴，违背了其隐私承诺。
结果
支付275,000美元，并实施跟踪技术合规计划，接受两次独立审计
US$52,400
原因
这家波士顿数据经纪商未在2025年截止日期前按照《删除法》在加州数据经纪商登记处登记。
结果
罚款52,400美元
US$116,490
原因
这家爱荷华州数据经纪商逾期登记，并要求加州居民提供社会安全号码后四位才能退出数据销售。
结果
罚款116,490美元并须改变做法；这是首个同时依据CCPA和《删除法》采取的执法行动
￦103亿
原因
TikTok的广告工具收集用户在其他网站和应用上的活动，并将其与用户账户关联，用于个性化广告。这一做法没有清楚披露，而且用户必须同意才能使用该应用。
结果
罚款103亿韩元；Apple在同一次会议上因Siri录音被罚款2.52亿韩元
原因
诉状统计，NFL.com在访客作出任何同意选择前加载了182个第三方跟踪器，在访客拒绝后加载了186个。以上均为指控。
结果
已提起诉讼；尚未作出裁决
原因
根据《2025年数据（使用和访问）法》作出的修改，组织必须自行受理和处理数据保护投诉。
结果
2026年6月19日起生效
- 规则或截止日期
Google Signals no longer controls Google Ads data from Analytics
Google, 全球, 平台政策
原因
自2026年6月15日起，由同意模式（Consent Mode）设置而非Google Signals决定Google Analytics是否收集Google Ads Cookie和ID。Google Signals现在只用于在报告中将Analytics数据与已登录用户关联。广告个性化控制将在2026年晚些时候转移到同意模式。
结果
2026年6月15日起适用
￦6246.81亿
原因
签名密钥管理不善，使一名前员工得以访问约3300万名用户的数据。Coupang还在未经同意的情况下，从外部网站和应用收集约1100万名用户的行为数据用于定向广告。
结果
罚款（课征金）共6246.81亿韩元（安全问题4235.75亿韩元，行为数据2011.06亿韩元），另处罚款1680万韩元
£300,000
原因
该公司发送了超过550万条未经请求的营销短信，其中包括冒充法警的虚假信息。这些短信导致7726垃圾信息举报服务收到超过60,000起投诉。
结果
罚款30万英镑
US$1275万
原因
GM在未告知的情况下，将数十万加州居民的OnStar驾驶和位置数据出售给Verisk和LexisNexis，而其隐私政策称不会出售此类数据。
结果
罚款1275万美元（迄今最高的CCPA罚款），5年内禁止出售驾驶数据，并须删除数据
原因
这家数据经纪商在用户不知情的情况下，出售来自数亿台设备的位置数据，这些数据可能暴露用户前往医疗和宗教场所的行踪。
结果
和解令禁止其未经明确同意出售敏感位置数据；无罚款
原因
法国监管机构说明了电子邮件中的跟踪像素何时需要同意，以及应如何征求同意。
结果
建议已发布
- 和解
European Wax Center (Cumor v. European Wax Center)
Florida Circuit Court, Hillsborough County (class action), 佛罗里达州, CIPA（窃听）
US$500万
原因
集体诉讼称，waxcenter.com使用像素和其他跟踪器，在未经同意的情况下与Meta等第三方共享访客数据。European Wax Center否认存在不当行为。
结果
集体和解金额最高500万美元，不承认责任
€1亿
原因
这款打车应用在缺乏适当保护措施的情况下，将芬兰和挪威乘客及司机的数据（包括位置、聊天记录、银行信息和驾照扫描件）发送给俄罗斯的Yandex公司。由于密钥直到2023年底也存放在俄罗斯，加密措施形同虚设。
结果
对MLU B.V.（Ridetech International的继任公司）罚款1亿欧元，并责令停止向俄罗斯传输数据；该公司表示将提出质疑
€3180万
原因
35个月里，一名员工在没有工作理由的情况下查询了3,573名客户（包括公众人物）的银行数据，而银行没有任何防范措施。银行最初向监管机构报告称只有九人受到影响。
结果
罚款3180万欧元
US$375,703
原因
Ford要求用户先验证电子邮件地址，才处理其退出请求，而CCPA不允许设置这一步骤。
结果
罚款375,703美元
US$5000万
原因
在剑桥分析丑闻背后的行为中，Meta误导Facebook用户，使其误以为自己能控制谁可以访问其数据，包括第三方应用开发者。
结果
民事罚款5000万美元，并对开发者数据访问实施3年禁令（旧金山高等法院判决）
US$110万
原因
用户必须接受跟踪才能使用门票或网站。PlayOn让用户使用NAI/DAA的退出工具，而不是提供自己的退出工具，且未响应退出偏好信号。
结果
罚款110万美元，须开展风险评估，对13–15岁用户采用选择加入机制
US$272万
原因
原告称，该公司的视频页面使用Meta Pixel，在未经同意的情况下将用户的视频观看记录和身份信息发送给Facebook。
结果
法院批准272万美元的集体和解
£1447.25万
原因
Reddit直到2025年7月才核验用户年龄，因此对于仍在使用该网站的13岁以下用户，其数据处理缺乏合法依据。Reddit也直到2025年1月才评估对儿童的风险。
结果
罚款1447万英镑；Reddit已向一级法庭（First-tier Tribunal）提起上诉
US$275万
原因
退出请求（包括Global Privacy Control信号）只适用于单个流媒体服务和设备，而不是整个账户。
结果
和解金275万美元，为当时最高的CCPA罚款
原因
FTC在2025年1月首次公布的诉状中指控，GM和OnStar通过具有误导性的OnStar Smart Driver注册流程，在未经适当同意的情况下收集驾驶者的精确位置和驾驶行为数据，并出售给消费者报告机构。
结果
最终命令以2比0票获批。GM在5年内不得与消费者报告机构共享地理位置或驾驶数据，并须在20年内取得明确同意，提供访问、删除和退出选项。无罚款。
US$45,000
原因
这家未登记的得克萨斯州数据经纪商转售包含数百万名患有阿尔茨海默病、成瘾等健康问题人士的名单，用于定向广告。
结果
罚款45,000美元，并须停止出售加州居民数据
US$62,600
原因
由于一次行政失误，S&P Global未登记为数据经纪商。
结果
罚款62,600美元，并须建立登记审核程序
€4200万
原因
2024年10月，一名攻击者侵入这两家电信公司的系统，获取了2400万份用户合同的数据，其中包括银行账号（IBAN）。安全措施不足，而且通知客户数据泄露的电子邮件遗漏了必须提供的信息。
结果
对Free Mobile罚款2700万欧元，对Free罚款1500万欧元（共4200万欧元），并责令整改
₫8.1亿
原因
Zalo没有为用户提供清晰的选项，让其选择共享哪些个人数据，或允许、拒绝将数据用于广告及其他商业目的。其条款中还包含被禁止的条款。
结果
因六项违反消费者保护法的行为被罚款8.1亿越南盾；TikTok因类似违规另被罚款8.8亿越南盾
€100万
原因
一家营销处理者在合同结束后保留了超过4600万名Deezer用户数据的副本，并在没有客户指示的情况下使用这些数据。
结果
罚款100万欧元
US$56,600
原因
一家内华达州营销公司利用超过2.62亿名美国人的数据制作并出售定制受众名单，却未在加州登记为数据经纪商。
结果
罚款及逾期费用共56,600美元
€150万
原因
该网站在访客作出选择前就放置了广告跟踪器，甚至在访客拒绝后仍会放置。用户撤回同意后，网站还会继续读取已有的跟踪器。
结果
罚款150万欧元
US$140万
原因
Jam City的21款手机游戏都没有提供合规的出售或共享退出选项。部分游戏在未取得选择加入同意的情况下，出售或共享13–16岁用户的数据。
结果
罚款140万美元，须提供应用内退出选项，并对13–15岁用户采用选择加入机制
€750,000
原因
访客一进入网站就会被设置Cookie，部分广告Cookie被标记为严格必要，拒绝后也无法阻止。
结果
罚款75万欧元；该出版商已于2021年因Cookie问题收到CNIL的整改令
€1004.3万
原因
这家机场运营商在多个机场开展人脸识别试点，事先未进行数据保护影响评估。
结果
罚款10,043,002欧元
US$530,000
原因
Sling将退出请求引导至Cookie偏好设置，并要求已登录用户重新输入信息。其客厅电视应用中也没有退出选项。
结果
罚款53万美元，须提供应用内退出选项，儿童账户默认关闭定向广告
US$135万
原因
其隐私声明遗漏了消费者和求职者的权利，退出功能（包括Global Privacy Control信号）无效，而且在没有签订必要合同的情况下共享数据。
结果
罚款135万美元，须扫描跟踪器，并连续四年提交年度合规证明
US$4.25亿
原因
约9800万名用户已关闭“网络与应用活动”，Google仍通过其分析工具继续收集这些用户的应用活动数据。
结果
陪审团裁定补偿性赔偿约4.25亿美元；无惩罚性赔偿；Google将上诉
US$1000万
原因
FTC指控Disney未将部分面向儿童的YouTube视频标记为“Made for Kids”，导致在未经家长同意的情况下收集儿童数据并用于定向广告。
结果
民事罚款1000万美元，并须实施为期10年的视频审核计划；法院于2025年12月31日批准该命令
DKK 150万
原因
ILVA在一个旧IT系统中保存了约350,000条客户记录，没有删除或匿名化的常规流程。在丹麦，由数据保护机构建议罚款金额，再由法院裁定。
结果
奥胡斯地区法院于2021年以过失为由罚款10万丹麦克朗。2025年9月2日，西区高等法院认定违规属故意，依据集团营业额（CJEU C-383/23）将罚款提高至150万丹麦克朗。
€3.25亿
原因
在Gmail收件箱中展示广告，并在账户注册时设置Cookie，均未取得有效同意。
结果
罚款3.25亿欧元（Google LLC 2亿欧元，Google Ireland 1.25亿欧元），并责令在六个月内整改这两个问题，否则每天罚款10万欧元
€1.5亿
原因
shein.com在访客回应横幅前就放置了广告Cookie，横幅也没有说明广告用途。用户点击“Refuse all”或撤回同意后，网站仍继续放置和读取Cookie。
结果
对Infinite Styles Services Co. Ltd（Shein的爱尔兰子公司）罚款1.5亿欧元
US$5950万
原因
Flo应用用户称，2016年11月至2019年2月期间，其月经和怀孕数据通过第三方SDK被共享给Google、Flurry和Meta，违反了《加州隐私侵犯法》（CIPA）。
结果
Google支付4800万美元，Flo支付800万美元，Flurry支付350万美元，均不承认存在不当行为；法官于2026年10月29日表示将给予最终批准
￦1348亿
原因
访问控制薄弱且网络相互连通，黑客得以窃取超过2300万名用户的数据，包括未加密的SIM认证密钥。SKT还延迟通知用户。
结果
罚款1348亿韩元，另处行政罚款960万韩元
原因
陪审团认定，Meta通过其SDK故意记录Flo应用用户的通信内容（包括月经和怀孕数据），违反了《加州隐私侵犯法》（CIPA）。
结果
陪审团裁定Meta承担责任；2025年9月审后动议被驳回；截至2026年11月尚未作出损害赔偿判决
US$55,400
原因
这家总部位于华盛顿州的数据经纪商未按《删除法》要求在CPPA登记并缴纳年费。
结果
同意支付55,400美元罚款
US$85,000
原因
TicketNetwork的隐私声明难以阅读，遗漏了关键权利，权利行使机制也无法正常运作。在2023年收到纠正通知后，它仍未修复这些问题。
结果
支付85,000美元；这是首个公开的CTDPA执法案例
US$155万
原因
用户退出（包括通过Global Privacy Control退出）后，Healthline仍继续与广告合作伙伴共享数据。它还共享了暗示医疗诊断的文章标题，用于广告定向。
结果
和解金155万美元，为当时最高的CCPA和解金额
€4500万
原因
Vodafone未对合作销售代理机构进行适当审查和监督，这些机构的员工以客户的名义虚构合同和变更，损害客户利益。MeinVodafone门户与客服热线之间的身份验证薄弱，也让外部人员得以获取eSIM配置文件。
结果
罚款共4500万欧元（1500万欧元＋3000万欧元），并予以警告
US$725万
原因
Patreon被指控通过Meta Pixel，在未经适当同意的情况下与Meta共享订阅者的视频观看选择和个人信息。
结果
725万美元和解获得最终批准
￦13.69亿
原因
Temu在未披露的情况下将韩国用户数据发送给位于中国、新加坡和日本的处理者。它也没有设立境内代理人，并在缺乏合法依据的情况下收集卖家的身份证件和人脸视频。
结果
罚款（课征金）13.69亿韩元，另处罚款1760万韩元，并被下达整改命令
€900,000
原因
该公司使用从数据经纪商处购买的数据发送营销短信和电子邮件，而这些经纪商的抽奖表单诱导用户接受。该公司无法证明取得了有效同意，并在缺乏法律依据的情况下把数据转给客户。
结果
罚款90万欧元；责令在取得有效同意前停止开展营销拓客
US$13.75亿
原因
得克萨斯州2022年提起的两起诉讼指控Google在未经同意的情况下跟踪位置、无痕模式搜索以及声纹和面部几何特征等生物识别数据。
结果
以13.75亿美元和解；不承认责任，也无需更改产品
US$46,000
原因
这家佛罗里达州数据经纪商是2024年National Public Data数据泄露事件的源头，它未在CPPA登记并缴纳年费。CPPA于2025年2月对其提起行政诉讼。
结果
被责令支付46,000美元罚款
US$345,178
原因
隐私门户配置错误，导致40天内无法处理退出请求。这家零售商还要求用户先完成身份验证并提供过多信息，才能退出。
结果
罚款345,178美元，须修复退出工具并开展员工培训
€5.3亿
原因
EEA用户的数据从中国被远程访问，而TikTok未能证明数据得到同等保护，也没有告知用户相关传输。
结果
罚款5.3亿欧元，并责令在六个月内整改，否则须暂停向中国传输数据
€1440万
原因
Amadeus将其航空订票系统中的旅客个人数据另作他用，用于其他产品，既无法律依据，也未告知当事人。
结果
罚款1440万欧元（原罚款1800万欧元，因立即缴纳减免20%）
PLN 2700万
原因
在筹备2020年邮寄投票总统选举期间，波兰国家邮政在缺乏法律依据的情况下处理了约3000万名成年人的PESEL登记数据。
结果
华沙行政法院于2026年3月5日撤销该处罚（II SA/Wa 837/25），认定邮政局受总理决定约束。该判决尚未生效；UODO可提起撤销上诉。
US$632,500
原因
Honda要求用户验证身份才能退出，并使用了一个未均衡展示选项的隐私工具。它还在没有签订必要合同的情况下与广告技术公司共享数据。
结果
罚款632,500美元，须简化权利行使流程，并咨询用户体验设计师
原因
这家加州数据经纪商宣称能挖出“吓人”数量的个人信息，却未按《删除法》登记并缴纳年费。
结果
同意在2028年前停止数据经纪业务；只有违反和解协议时才须支付50,000美元罚款
US$55,800
原因
这家数据经纪商未按《删除法》要求在CPPA登记并缴纳年费。
结果
以55,800美元和解
US$2000万
原因
FTC称，《原神》开发商在未经家长同意的情况下收集13岁以下儿童的数据，并在战利品箱的概率和费用上误导玩家。
结果
罚款2000万美元，并禁止在未经家长同意的情况下向16岁以下用户出售战利品箱
原因
FTC指控Mobilewalla从实时竞价广告交易平台收集位置数据，并在未核实消费者同意的情况下出售可暴露敏感场所到访情况的数据。这是FTC首次认定此类从广告交易平台收集数据的行为属于不公平行为。
结果
最终命令（4比1）禁止出售敏感位置数据，并禁止将广告交易平台的竞价数据用于竞价以外的任何用途。无罚款。
原因
FTC在2024年12月公布的诉状中指控，Gravy Analytics及其子公司Venntel在未经适当同意的情况下出售位置数据，包括到访诊所和宗教场所的人员名单。
结果
最终命令（5比0）禁止出售、共享或使用敏感位置数据，有限的国家安全或执法情形除外。须建立敏感位置数据管理计划。无罚款。
US$54,200
原因
这家数据经纪商在2024年2月1日至11月4日期间未在CPPA登记并缴纳年费。
结果
以54,200美元和解
US$46,600
原因
这家数据经纪商在2024年2月1日至9月20日期间未在CPPA登记并缴纳年费。
结果
以46,600美元和解
AU$5000万
原因
通过“This Is Your Digital Life”应用，311,127名澳大利亚Facebook用户的数据面临被披露给剑桥分析公司的风险。
结果
通过可执行承诺设立5000万澳元的赔付计划，联邦法院罚款诉讼随之终止
€2.51亿
原因
2018年，Facebook“View As”功能存在漏洞，攻击者借此窃取了约2900万个账户的令牌，其中300万个位于EU/EEA，暴露的数据包括儿童数据。Meta的泄露通知不完整，其系统也未按照设计保护数据的原则构建。
结果
罚款2.51亿欧元
€950,000
原因
贷款申请可通过客户专属URL打开，而这些URL成为网络钓鱼者的目标。申请人的收入、住房开支、婚姻状况和子女信息因此暴露。
结果
罚款95万欧元，并责令通知受影响客户
€40,000
原因
跟踪Cookie通过预先勾选的复选框放置，并把继续浏览视为同意。
结果
罚款40,000欧元
₹21.314亿
原因
CCI认定，WhatsApp 2021年的隐私政策更新以“要么接受、要么离开”的方式强加给用户，构成《2002年竞争法》下的不公平条件和滥用支配地位。
结果
罚款21.314亿卢比；2025年11月4日，NCLAT（上诉法庭）维持罚款，但撤销了禁止WhatsApp与Meta共享数据用于广告的五年禁令
TRY 200万
原因
一次125 GB的数据泄露影响了土耳其35,274人。KVKK认定Twitch的安全措施和风险评估不足，且未报告该泄露事件。
结果
因安全措施不足罚款175万土耳其里拉，另因未报告泄露罚款25万土耳其里拉
€5000万
原因
Mail Orange未经同意，在用户收件箱的真实邮件中插入伪装成邮件的广告。在orange.fr上，用户撤回同意后Cookie仍继续被读取。
结果
罚款5000万欧元；责令在用户撤回同意后停止读取Cookie，否则每天罚款10万欧元
US$35,400
原因
这家数据经纪商在2024年2月1日至7月26日期间未在CPPA登记并缴纳年费。这是首批《删除法》和解案之一。
结果
以35,400美元和解
US$34,400
原因
这家数据经纪商在2024年2月1日至7月21日期间未在CPPA登记并缴纳年费。这是首批《删除法》和解案之一。
结果
以34,400美元和解
€240万
原因
Posti自动为客户开通电子邮箱，并将其与其他服务捆绑，客户无法拒绝。客户没有得到清楚告知，且使用了预先勾选的复选框。
结果
赫尔辛基行政法院撤销了240万欧元罚款（2025年11月3日报道），但维持训诫和整改令
€1500万
原因
Garante认定，OpenAI在缺乏法律依据的情况下使用用户数据训练ChatGPT，透明度不足，未报告2023年的数据泄露，也没有年龄核验。
结果
罚款1500万欧元，并须开展为期6个月的宣传活动；2026年3月18日，罗马法院以Garante已将管辖权让渡给爱尔兰DPC为由撤销该处罚
€3.1亿
原因
使用会员数据开展行为广告，没有有效的法律依据。
结果
罚款3.1亿欧元，予以训诫，并责令使数据处理合规
原因
被责令在Cookie横幅第一层加入“Reject all”，并停止使用诱导访客接受的颜色。
结果
被责令修改Cookie横幅并处以按日罚款，数据保护机构后于2025年3月撤回该命令；RTL修改横幅后，投诉于2025年9月结案
€9100万
原因
Meta在内部系统中以明文存储部分用户的密码，也未将此事作为数据泄露进行通知和记录。
结果
罚款9100万欧元，并予以训诫
- 命令
Mediahuis (De Standaard, Het Nieuwsblad, Het Belang van Limburg, Gazet van Antwerpen)
Belgian DPA, 比利时, GDPR
原因
在noyb投诉后，数据保护机构责令Mediahuis旗下四个新闻网站在Cookie横幅上凡出现“accept all”的地方都加入拒绝选项，并停止使用误导性的按钮颜色。这取代了此前一项不要求修改横幅的10,000欧元和解。
结果
两项命令须在45天内完成，每个网站每项命令按日罚款25,000欧元（合计每天最高20万欧元）。市场法院于2025年3月19日以程序理由撤销该决定（2024/AR/1690），认定noyb滥用了投诉权。
原因
因在访客接受或拒绝之前就设置广告Cookie而受到训诫。
结果
训诫，未罚款
€2.9亿
原因
司机的个人数据在缺乏充分保护的情况下被传输到美国。
结果
罚款2.9亿欧元
US$14亿
原因
Facebook默认开启的“标签建议”功能使用人脸识别，在未披露、未经同意的情况下从上传的照片中收集生物识别标识。
结果
五年内支付14亿美元；为当时单个州最大的隐私和解
€600,000
原因
Kruidvat.nl在未取得有效同意的情况下使用跟踪Cookie追踪访客；横幅中的同意选项默认勾选，拒绝更难。网站由此根据验孕棒、药品等敏感的药店购物记录建立了详细画像。
结果
罚款60万欧元
US$500,000
原因
游戏“SpongeBob: Krusty Cook-Off”使用非中立的年龄筛选界面，SDK配置也有误，导致在未经家长同意的情况下收集并出售儿童数据。
结果
罚款50万美元，须采用中立的年龄验证，并加强SDK治理（与洛杉矶市检察官联合执法）
€3050万
原因
Clearview在缺乏法律依据的情况下抓取了超过300亿张照片（包括荷兰人的照片），用于建立人脸识别档案，且未告知当事人。
结果
罚款3050万欧元，另附带违者罚款的命令
US$700万
原因
这家远程医疗公司通过跟踪工具，将近320万人的敏感心理健康数据共享给LinkedIn、Snapchat、TikTok等公司用于广告。它还让用户难以取消服务。
结果
超过700万美元（约510万美元退款，加上1000万美元罚款中的200万美元）；禁止将健康数据用于大多数广告
CZK 3.51亿
原因
Avast将约1亿名杀毒软件和浏览器扩展用户的浏览记录交给其子公司Jumpshot。Avast声称这些数据是匿名的，但实际上只是假名化处理，部分用户可被重新识别。
结果
罚款3.51亿捷克克朗，现已生效
原因
诉讼指控Google跟踪Chrome用户的浏览行为，而这些用户以为无痕模式能保护其隐私。
结果
无损害赔偿；须删除数十亿条记录，提供更清晰的披露，并在5年内允许在无痕模式下屏蔽第三方Cookie
US$1650万
原因
Avast一边承诺保护用户免受跟踪，一边通过其杀毒软件和扩展程序收集浏览数据，并经由Jumpshot出售给100多家买家。
结果
支付1650万美元，并禁止出售浏览数据用于广告
US$375,000
原因
DoorDash将加州客户的姓名、地址和订单记录提供给一个营销合作组织。这在CCPA下属于出售，而DoorDash既未告知，也未提供退出选项。
结果
罚款375,000美元，须审查供应商合同并提交年度报告
€7910万
原因
管控薄弱，使未经授权的代理机构得以通过非法电话营销为客户签约。Enel接收了来自其销售网络以外代理机构的978份合同。
结果
罚款7910万欧元
£140,000
原因
HelloFresh基于无效同意发送了约7900万封营销邮件和100万条短信。该同意被捆绑在年龄确认复选框中，且未提及短信。部分用户要求停止后仍持续收到信息。
结果
罚款14万英镑
原因
这家数据经纪商出售与广告ID关联、未经匿名化的精确位置数据，包括到访医疗诊所的记录，却没有确保用户已作出知情同意。
结果
FTC首次禁止出售敏感位置数据；须删除数据及衍生产品
DKK 1500万
原因
Datatilsynet就公共数字邮箱mit.dk向警方举报Netcompany。该系统设计中未内置安全措施，影响评估也不充分。
结果
数据保护机构建议罚款至少1500万丹麦克朗，最终罚款由法院裁定。目前仍在审理中，尚无判决。
€1000万
原因
Yahoo在未事先取得同意的情况下放置广告跟踪器。它还告诉用户，撤回同意将无法使用Yahoo Mail等关键服务。
结果
对Yahoo EMEA罚款1000万欧元；2025年10月7日获法国最高行政法院（Conseil d'État）维持
US$300,000
原因
2016年至2022年间，医院网站上的跟踪工具将医生和病症搜索以及预约信息发送给科技公司，违反了HIPAA。
结果
支付30万美元，须审查跟踪工具，并删除已共享的数据
€3200万
原因
Amazon通过扫描枪监控仓库员工，建立了详细的生产效率指标，且保存时间过长。它也没有就此事及监控摄像向临时工作人员充分告知。
结果
罚款3200万欧元；2025年12月23日被法国最高行政法院（Conseil d'État）减至1500万欧元
€1000万
原因
Uber没有告诉欧洲司机其数据的保存期限，以及数据被传往哪些非欧盟国家。它还让司机申请获取自身数据变得毫无必要地困难。
结果
罚款1000万欧元
€547万
原因
这家催收公司在缺乏法律依据的情况下处理非债务人的数据和健康数据。它在没有法律依据的情况下录制了约49,850人的通话，安全措施薄弱还导致181,641人的数据被窃取。
结果
罚款547万欧元，为克罗地亚最高罚款；EOS Matrix表示将提出质疑
€1000万
原因
Axpo在未经适当核查的情况下从销售代理处获取客户数据，导致有人在当事人不知情的情况下，使用错误或过时的联系方式以其名义开立能源合同。
结果
罚款1000万欧元
€3.45亿
原因
在处理儿童数据和账户方面存在缺陷。
结果
罚款3.45亿欧元
US$1222.5万
原因
该医疗系统在其网站、患者门户和预约应用中使用Meta Pixel和Google Analytics，导致约250万名患者的数据被披露。
结果
集体和解金12,225,000美元
US$400万
原因
订阅者指控，《波士顿环球报》视频页面上的Facebook像素将其视频观看数据发送给Facebook。Bloomberg Law称这是首起Meta Pixel隐私案件。
结果
设立400万美元和解基金；法院将申请的律师费从约170万美元削减至75万美元
US$75,000
原因
这家基因检测公司将DNA和健康报告存放在公开的云存储中，在删除问题上误导用户，并追溯修改隐私政策以扩大数据共享范围。
结果
支付75,000美元用于退款，须销毁DNA样本，共享数据须取得同意
€4000万
原因
通过合作网站上的Cookie收集浏览数据，却未核实合作方是否已取得有效同意。
结果
罚款4000万欧元，2026年3月获法国最高行政法院（Conseil d'État）维持
SEK 5800万
原因
用户申请获取自身数据时，Spotify提供了数据，但没有清楚说明如何使用这些数据。技术数据也没有以用户能理解的方式解释。
结果
罚款5800万瑞典克朗
US$2000万
原因
Microsoft在Xbox注册环节收集儿童数据，既未通知家长，也未取得同意，而且保存时间超过允许期限。
结果
民事罚款2000万美元
US$2500万
原因
Amazon无限期保存儿童的Alexa语音录音和位置数据，未响应删除请求，并利用这些数据改进其算法。
结果
民事罚款2500万美元，并须履行删除要求
US$580万
原因
Ring允许员工和承包商查看客户的私人视频，且缺乏基本安全措施，导致黑客控制了约55,000个账户。
结果
支付580万美元用于退款，并须实施隐私和安全计划
€12亿
原因
Facebook用户数据在缺乏充分保护的情况下被传输到美国。这是迄今最高的GDPR罚款。
结果
罚款12亿欧元，并责令停止传输
US$100,000
原因
这款排卵应用通过SDK将敏感健康数据共享给AppsFlyer、Google和两家中国公司，却从未告知用户。
结果
依据《健康数据泄露通知规则》罚款10万美元（另向CT、DC和OR支付10万美元），并被禁止为广告共享数据
€380,000
原因
这家健康网站在未取得专门同意的情况下收集健康测验数据，且保存时间过长。它在访客进入时就放置一个广告Cookie，即使用户点击“Refuse all”后还会再放置两个。
结果
共罚款38万欧元（GDPR部分28万欧元，Cookie部分10万欧元）
€226.5万
原因
这家催收机构在隐私政策中写明的法律依据有误，并且没有为破产监控服务签订处理者合同。安全措施不足导致至少132,652人的数据暴露。
结果
罚款226.5万欧元，为AZOP当时开出的最高罚款
£1270万
原因
TikTok允许大量13岁以下的英国儿童在未经家长同意的情况下使用该应用，并且在发现和移除这些用户方面做得太少。它也没有清楚说明如何使用用户数据。
结果
罚款1270万英镑；TikTok于2026年9月撤回上诉并接受处罚
US$780万
原因
FTC称，BetterHelp将电子邮件地址、IP地址和健康问卷答案共享给Facebook、Snapchat、Criteo和Pinterest用于广告。
结果
支付780万美元用于消费者退款，并禁止为广告共享健康数据
US$150万
原因
GoodRx承诺不会共享数据，却将用户的用药和健康状况共享给Facebook、Google和Criteo，并用于定向广告。
结果
罚款150万美元（首起《健康数据泄露通知规则》案件），并禁止为广告共享健康数据
€3.9亿
原因
Meta以其与用户的合同（服务条款）作为行为广告的法律依据，DPC裁定该依据无效。
结果
罚款3.9亿欧元（Facebook 2.1亿欧元，Instagram 1.8亿欧元），并责令在三个月内整改
€300万
原因
这家手机游戏发行商未经同意，读取iPhone上Apple的IDFV标识符用于广告，即使用户已拒绝跟踪。
结果
罚款300万欧元；2024年5月14日获法国最高行政法院（Conseil d'État）维持
€500万
原因
tiktok.com提供一键“accept all”，却没有同样便捷的Cookie拒绝方式；“refuse all”按钮直到2022年2月才上线。网站也没有向访客清楚说明Cookie的用途。
结果
罚款500万欧元
€800万
原因
在iOS 14.6中，Apple未事先征求同意就读取iPhone标识符，用于App Store个性化广告；广告定向默认开启，需要多个步骤才能关闭。
结果
罚款800万欧元；Apple表示将上诉
US$5.2亿
原因
FTC称，Epic在未经家长同意的情况下收集儿童数据，默认开启语音和文字聊天，并使用诱导用户进行非自愿购买的暗黑模式。
结果
COPPA罚款2.75亿美元，另向消费者退款2.45亿美元（共5.2亿美元）
€6000万
原因
bing.com放置Cookie（包括广告Cookie），而拒绝Cookie不像接受那样容易。
结果
罚款6000万欧元，并责令整改
US$3.915亿
原因
各州称，Google自2014年起在位置跟踪问题上误导用户：即使关闭“位置记录”，仍会通过“网络与应用活动”等设置收集数据。
结果
以3.915亿美元和解，为当时美国历史上最大的多州隐私和解
€430万
原因
在2021年人口普查中，INE使用Cloudflare，其条款允许将数据传输到美国和其他国家，而没有充分的保护措施。其他问题还包括告知义务、处理者规则以及缺少DPIA。
结果
罚款430万欧元，为葡萄牙最高罚款；INE于2023年1月提起上诉，尚未查到最终裁决
€2000万
原因
Clearview在缺乏法律依据的情况下抓取了数十亿张网络照片（包括法国人的照片）用于人脸识别，且未妥善答复访问和删除请求。
结果
罚款2000万欧元，并责令删除数据；2023年因未履行命令被追加520万欧元逾期罚款
- 和解
Google (Google Photos, Rivera v. Google)
Circuit Court of Cook County, Illinois (class action), 伊利诺伊州, 伊利诺伊州 BIPA
US$1亿
原因
伊利诺伊州居民指控，Google Photos的人脸分组功能在未按BIPA要求发出通知并取得书面同意的情况下，从其照片中生成人脸模板。
结果
1亿美元和解于2022年9月28日获最终批准
€4.05亿
原因
儿童的联系方式通过商业账户和默认公开的个人资料被公开。
结果
罚款4.05亿欧元
￦692亿
原因
Google没有清楚告知用户其会收集用户在其他服务上的行为用于定制广告，并将同意的默认选项设为“同意”。
结果
罚款692亿韩元，并被下达整改命令
￦308亿
原因
Meta在注册时未取得有效同意，就收集并使用用户在其他网站和应用上的行为用于个性化广告。
结果
罚款308亿韩元，并被下达整改命令
US$120万
原因
数据通过第三方跟踪器被出售，却未告知客户，Global Privacy Control信号也被忽略。
结果
以120万美元和解
US$3500万
原因
伊利诺伊州用户指控，Snapchat的Lenses和Filters在未按BIPA要求进行披露并取得书面同意的情况下，扫描并存储其面部几何特征。Snap否认这些指控。
结果
为2015年11月以来的伊利诺伊州用户达成3500万美元集体和解；最终批准听证会定于2022年11月
US$9200万
原因
原告指控TikTok违反BIPA，在未经同意的情况下收集面部特征，并违反VPPA披露观看数据。
结果
9200万美元和解获最终批准
¥80.26亿
原因
滴滴自2015年起在未经同意的情况下非法收集用户数据，包括人脸识别数据和手机相册照片。它还以不安全的方式存储了5700万名司机的数据。
结果
依据《个人信息保护法》《网络安全法》和《数据安全法》罚款80.26亿元人民币
€2000万
原因
Clearview在缺乏法律依据、也不透明的情况下，从公开网站和社交网络收集希腊人的面部图像，建立可搜索的生物识别档案。
结果
罚款2000万欧元
€220,000
原因
2020年4月至2021年3月期间，这家健康保险公司向一名女士发送了51封邮件，内含其他人的体检合格证明和检查结果，并无视她的提醒。公司也没有报告这起泄露事件。
结果
拟罚款22万欧元（依据第5(1)(f)条罚款10万欧元，另两项违规各罚6万欧元）；适用自愿缴纳和认责减免后，DKV支付了13.2万欧元（PS/00080/2022）
原因
该应用告诉用户只在使用期间收集位置，实际上却每隔几分钟就跟踪一次用户位置，即使应用已关闭。
结果
认定存在违规；Tim Hortons同意删除数据并建立隐私计划（未罚款）
US$1.5亿
原因
Twitter以账户安全为由收集了超过1.4亿名用户的电话号码和电子邮件，随后将其用于定向广告，违反了2011年的FTC命令。
结果
民事罚款1.5亿美元
£755.28万
原因
Clearview利用抓取的超过200亿张图片（包括英国人的图片）建立人脸识别数据库，既未告知当事人，也没有合法依据。
结果
罚款7,552,800英镑，并责令删除英国数据；2023年一级法庭以管辖权为由推翻处罚，但上级法庭（Upper Tribunal）于2025年10月撤销该裁决并将案件发回重审
€1000万
原因
Google在缺乏法律依据的情况下，将申请删除内容的人的个人数据转交给哈佛大学的Lumen项目，该项目会公开此类请求。Google还让人们难以删除自己的数据。
结果
罚款1000万欧元
€1700万
原因
2018年发生12起数据泄露后，Meta无法证明其已采取适当措施保护欧盟用户的数据。
结果
罚款1700万欧元
US$150万
原因
一款面向最小八岁儿童推广的减肥应用，在未经家长同意的情况下收集儿童数据。其注册流程允许儿童谎称已满13岁。
结果
罚款150万美元，须删除数据和算法
€2000万
原因
Clearview在缺乏法律依据、也不透明的情况下，对从网络抓取的图像（包括意大利人的图像）进行生物识别人脸搜索。
结果
罚款2000万欧元
€250,000
原因
广告行业的透明度与同意框架（TCF）处理TC String没有有效的法律依据，向用户提供的信息也很模糊。它没有确保用户的选择得到尊重。
结果
罚款25万欧元；责令整改TCF，包括禁止以正当利益为依据；整改计划后获批准，随后在上诉期间暂停执行
€800万
原因
DSB认定与jö Bonus Club会员计划相关的GDPR违规。此前在2021年，该俱乐部本身因未告知约200万名客户其数据将如何使用，已被罚款200万欧元。
结果
公布时尚未生效；REWE表示将提出质疑。尚未查到法院判决结果。
€125万
原因
2018年至2021年间，里斯本市议会在225起违规中将抗议活动组织者的个人数据提供给第三方，包括俄罗斯大使馆。
结果
由于部分违规已过追诉时效，法院减少了罚款；2025年8月，南部中央行政法院对65项违规保留约73.8万欧元罚款。仍可进一步上诉。
€1.5亿
原因
在google.fr和youtube.com上，用户一键就能接受所有Cookie，拒绝却需要点击多次。
结果
共罚款1.5亿欧元（Google LLC 9000万欧元，Google Ireland 6000万欧元），并责令整改
€6000万
原因
在facebook.com上，用户一键就能接受Cookie，拒绝却需要点击多次，而且没有清楚告知用户如何拒绝。
结果
对Facebook Ireland罚款6000万欧元，并责令整改
NOK 6500万
原因
Grindr在未取得有效同意的情况下，将用户的GPS位置、广告ID等数据共享给广告合作伙伴，而这些数据会暴露用户在使用同性恋交友应用。用户必须接受整份隐私政策才能使用该应用。
结果
罚款6500万挪威克朗；先后获隐私上诉委员会、奥斯陆地区法院维持，最终于2025年10月21日获上诉法院维持
TRY 195万
原因
KVKK认定，WhatsApp 2021年的隐私更新没有清楚说明用户数据将如何处理以及为何处理，并强迫用户整体接受合同，而不是让用户自由作出同意。
结果
罚款195万土耳其里拉（约19.7万欧元），并责令使其隐私政策符合土耳其法律
€2.25亿
原因
WhatsApp没有向用户和非用户清楚说明其如何处理他们的数据，包括如何与Facebook旗下其他公司共享数据。
结果
罚款2.25亿欧元，予以训诫并责令整改；罚款金额在EDPB作出有约束力的决定后提高
€7.46亿
原因
在没有有效法律依据的情况下将个人数据用于广告定向。
结果
罚款7.46亿欧元，2025年获维持，但2026年3月被卢森堡高等行政法院撤销并发回CNPD
US$6.5亿
原因
Facebook在未按BIPA要求取得书面同意的情况下，使用人脸识别收集并存储伊利诺伊州用户的生物识别标识。
结果
6.5亿美元和解获Donato法官最终批准
£60,000
原因
2019年6月至2020年6月期间，这家时装品牌在未取得有效同意的情况下发送了1,746,632条直接营销信息，部分信息以下载其应用即送免费口罩为噱头。其结账流程没有提供简单的拒绝营销方式，因此不适用软性选择加入（soft opt-in）。
结果
依据PECR罚款6万英镑
£10,000
原因
2019年8月至2020年4月期间，这家在线贴纸销售商在未经同意的情况下发送了491,995封营销邮件，其中很多是在疫情初期推销口罩。
结果
依据PECR罚款1万英镑
€50,000
原因
该公司向准父母寄送“粉红盒子”试用装。它在未取得有效、知情且自由作出的同意的情况下，将客户数据（包括儿童数据）提供给数据经纪商等第三方。一名已撤回同意的女士仍不断接到广告电话。
结果
罚款5万欧元，并责令使数据处理合规（第04/2021号决定）
原因
这款经期跟踪应用承诺保护隐私，却将包括怀孕信息在内的健康数据共享给第三方分析和营销公司。
结果
同意令：须接受独立审查，共享数据前取得同意，并通知用户；无罚款
€1040万
原因
这家在线零售商在缺乏法律依据的情况下对员工进行了至少两年的录像监控，范围包括工位、卖场、仓库和休息区。录像通常保存60天。
结果
汉诺威地区法院将罚款减至70万欧元（2024年5月6日）；经检察官上诉，策勒高等地区法院将最终罚款定为90万欧元（2025年12月18日，3 ORbs 113/25）
€600万
原因
客户的同意无效，银行也不能以正当利益为依据进行用户画像。银行还未向客户充分告知。
结果
罚款600万欧元（非法处理400万欧元，未充分告知200万欧元）
€1亿
原因
google.fr未事先取得同意就放置广告Cookie，也没有清楚告知用户其用途。用户关闭广告个性化后，仍有一个广告Cookie保留。
结果
共罚款1亿欧元（Google LLC 6000万欧元，Google Ireland 4000万欧元），并责令整改
€3500万
原因
amazon.fr未事先取得同意、也未提供清晰信息，就在访客设备上放置广告Cookie。
结果
对Amazon Europe Core罚款3500万欧元，并责令整改
€7,300
原因
一家只有两名员工的邮件营销拓客公司在无法证明事先取得同意的情况下发送营销邮件。它还保存了不必要的数据，告知不充分，退订机制无效，处理者合同也不完整。
结果
考虑到企业规模很小，罚款定为7,300欧元，并责令在两个月内整改，否则每天罚款1,000欧元（SAN-2020-016）
PLN 196.852万
原因
Virgin Mobile没有定期测试其安全措施，一次泄露导致约114,000名预付费客户的PESEL号码和身份证件号码暴露。
结果
首次决定被撤销；UODO重新将罚款定为1,599,395兹罗提，2023年获维持，2026年5月7日最高行政法院驳回上诉后生效
€225万
原因
Carrefour的网站和会员计划提供的信息不清晰，数据保存时间过长，处理个人权利请求不当，在Cookie方面也不合规。
结果
对Carrefour France罚款225万欧元（Carrefour Banque另被罚款80万欧元）
£125万
原因
2018年，Ticketmaster支付页面上一个安全性差的第三方聊天机器人遭到攻击，可能导致940万名欧洲客户的数据泄露，包括支付卡信息。
结果
罚款125万英镑
€1225.16万
原因
数百万客户在未同意的情况下接到电话营销，其中一些是销售合作方使用虚假号码拨打的。
结果
罚款12,251,601欧元
£1840万
原因
2014年，Marriott后来收购的Starwood遭到网络攻击，约3.39亿条客人记录暴露，直到2018年才被发现。Marriott在尽职调查和安全方面做得不够。
结果
罚款1840万英镑
£2000万
原因
由于安全措施不足，攻击者在2018年劫持了BA网站流量，窃取了约40万名客户的登录信息、支付卡信息和预订信息。
结果
罚款2000万英镑（原拟罚款1.8339亿英镑）
€3525.871万
原因
H&M纽伦堡服务中心的管理人员记录员工的私人生活，包括在“欢迎回来”谈话中获知的疾病和诊断信息，并据此建立员工档案。
结果
罚款35,258,708欧元
€1670万
原因
客户在未同意的情况下收到营销短信、邮件和电话。隐私信息不完整，使客户难以撤回同意或提出反对。
结果
罚款1670万欧元
TRY 120万
原因
amazon.com.tr在用户一进入网站时就通过Cookie处理个人数据，没有任何告知或同意提示。它还使用预先勾选的营销邮件同意，并在未取得明确同意的情况下将数据传输到境外。
结果
罚款110万土耳其里拉（数据安全），另罚10万土耳其里拉（告知义务）；责令修改其隐私声明、条款和Cookie声明
€2780万
原因
数百起投诉表明，TIM在未经同意的情况下拨打营销电话，或拨打给已选择退出的人。它还在应用中提供不清晰的信息，并捆绑同意。
结果
罚款2780万欧元
€955万
原因
电话客服只要来电者提供客户姓名和出生日期，就会提供大量客户数据。根据GDPR第32条，这种核验过于薄弱。
结果
波恩地区法院原则上维持罚款，但于2020年11月11日将其减至90万欧元
€1450万
原因
这家房东的档案系统无法删除旧租户数据，因此工资单、银行对账单以及税务和医疗保险数据被保存多年（GDPR第25(1)条和第5条）。
结果
柏林地区法院于2021年撤销处罚。CJEU于2023年12月5日裁定（C-807/21），可以直接对公司处以罚款，但仅限于有过错的违规。2026年6月9日，柏林第一地区法院将罚款减至90万欧元；尚未生效。
€30,000
原因
Vueling网站没有为访客提供拒绝Cookie的方式：访客必须接受Cookie才能继续浏览。
结果
罚款30,000欧元（提前缴纳为18,000欧元）
€1800万
原因
这家邮政公司在未经同意的情况下推测并出售220万名奥地利人可能的政党倾向。
结果
2020年因形式瑕疵被撤销，CJEU作出Deutsche Wohnen裁决后重新定为1600万欧元。2026年6月24日，最高行政法院将最终罚款定为1300万欧元（Ro 2025/04/0007）。
PLN 283万
原因
访问控制和身份验证薄弱，且对异常数据传输毫无反应，攻击者在2018年得以窃取约220万名网店客户的数据。
结果
2020年获维持，2023年2月9日被最高行政法院撤销；UODO于2024年2月重新罚款380万兹罗提，目前正在上诉中
US$1.7亿
原因
YouTube在未经家长同意的情况下，从面向儿童频道的观众处收集Cookie，并用于定向广告。
结果
共1.7亿美元（FTC 1.36亿美元，纽约州3400万美元）；须建立频道内容标记系统
€195,407
原因
这家外卖公司没有删除长期不活跃的账户，在用户提出反对后仍继续发送营销邮件，也没有答复访问请求。
结果
已生效；于2019年9月19日公布
US$50亿
原因
FTC称，Facebook在用户对其数据的控制权问题上欺骗用户，包括将好友数据共享给第三方应用，违反了2012年的隐私令。这些指控是在剑桥分析丑闻之后提出的。
结果
罚款50亿美元，为当时隐私违规史上最高罚款，并须设立董事会隐私委员会
DKK 120万
原因
这家出租车公司将近900万次行程的电话号码和行程位置保存得超过必要期限。数据保护机构建议罚款120万丹麦克朗；在丹麦，罚款由法院裁定。
结果
腓特烈斯贝地区法院于2023年1月罚款10万丹麦克朗
US$570万
原因
该应用明知许多用户是儿童，仍在未经家长同意的情况下收集13岁以下用户的个人数据。
结果
民事罚款570万美元，并须删除13岁以下用户的视频
€5000万
原因
安卓用户在创建Google账户时，得到的广告个性化信息既不清晰又分散。同意被捆绑，且使用了预先勾选的复选框。
结果
罚款5000万欧元；2020年6月19日获法国最高行政法院（Conseil d'État）维持
SGD 750,000
原因
作为SingHealth的IT机构，IHiS在2018年网络攻击发生前未能采取合理的安全措施，该攻击复制了超过150万名患者的数据。
结果
罚款75万新加坡元
SGD 250,000
原因
SingHealth将患者记录外包给IHiS，但仍对其安全负有责任。在2018年泄露事件发生前，它没有采取合理的安全措施。
结果
罚款25万新加坡元
£385,000
原因
本可避免的安全漏洞使攻击者在2016年窃取了约270万名英国乘客和82,000名司机的数据。Uber向攻击者付款，并将泄露事件隐瞒了一年多。
结果
已缴纳（《1998年数据保护法》）
€20,000
原因
这家聊天平台以明文存储密码，2018年7月黑客窃取了约330,000名用户的数据。
结果
德国首笔GDPR罚款，因Knuddels主动报告泄露并积极配合，罚款金额较低
£500,000
原因
Facebook允许“This Is Your Digital Life”应用收集多达8700万名用户的数据，这些数据流向了剑桥分析公司。这违反了《1998年数据保护法》的透明度和安全原则。
结果
《1998年法》规定的最高罚款。Facebook提起上诉，随后于2019年10月30日同意在不承认责任的情况下缴纳罚款，双方均撤回上诉。
€4,800
原因
这家投注店的监控摄像头在缺乏法律依据的情况下拍摄了大片公共人行道，且没有设置适当的提示标识。
结果
奥地利首笔GDPR罚款；报道时尚未生效，此后也未确认法院判决结果
£140,000
原因
这家数据经纪商将超过100万人（主要是新手妈妈）的数据出售给Experian，Experian据此建立的数据库被工党用于2017年大选邮寄宣传。其隐私政策从未提及政治营销。
结果
已缴纳（《1998年数据保护法》）
€400,000
原因
访问控制不力，使非医务人员可以打开患者的临床记录。医院有985个活跃的医生账户，但医生只有296名。
结果
医院上诉后，罚款被合并为一笔38万欧元的罚款；2020年7月14日，CNPD以疫情和医院财务赤字为由免除了该罚款
£77,000
原因
BT在未取得必要同意的情况下，向客户发送了近500万封营销邮件。
结果
已缴纳
£12,000
原因
Royal Mail向327,014名已选择退出直接营销的人发送了邮件。
结果
已缴纳
€300,000
原因
WhatsApp在未取得有效同意的情况下将用户数据提供给Facebook。用户必须接受2016年的条款才能继续使用该应用。
结果
严重违反西班牙GDPR之前的数据保护法（LOPD）；WhatsApp表示将上诉
€300,000
原因
Facebook在未取得自由、具体且知情的同意的情况下，将从WhatsApp获得的数据用于自身目的，包括广告。
结果
严重违反LOPD
€120万
原因
Facebook在未取得明确同意的情况下，将意识形态、宗教和性生活等敏感数据用于广告定向。它还通过Cookie和“赞”按钮在不告知的情况下跟踪非用户和已退出登录的用户。
结果
依据LOPD罚款120万欧元（PS/00082/2017），为AEPD当时开出的最高罚款；Facebook表示将上诉
£10,500
原因
Morrisons在未取得充分同意的情况下向收件人发送营销邮件。
结果
已缴纳
€150,000
原因
Facebook使用其“datr”Cookie在其他网站上跟踪用户（包括非用户），没有提供清晰信息，并在缺乏法律依据的情况下合并数据用于广告定向。用户无法有效拒绝这些Cookie。
结果
对Facebook Inc.和Facebook Ireland罚款15万欧元
£70,000
原因
Flybe故意向已选择退出其营销的人发送了超过330万封邮件。
结果
已缴纳
£13,000
原因
Honda发送了289,790封邮件，请客户确认其营销偏好。这些邮件本身就是未经同意发送的营销邮件。
结果
已缴纳
金额最高的 GDPR 及欧盟隐私罚款
- 1Meta Platforms IrelandIrish DPC, 2023€12亿
- 2UberDutch DPA (AP), 2026€8.25亿
- 3Meta (Facebook Android app)Italian Garante, 2026€8.05亿
- 4Amazon Europe CoreLuxembourg CNPD, 2021€7.46亿
- 5TikTokIrish DPC, 2025€5.3亿
- 6Meta (Instagram)Irish DPC, 2022€4.05亿
- 7GoogleIrish DPC, 2026€4.03亿
- 8Meta (Facebook and Instagram)Irish DPC, 2023€3.9亿
- 9TikTokIrish DPC, 2023€3.45亿
- 10Google LLC and Google IrelandCNIL, 2025€3.25亿
金额最高的 CCPA 及美国隐私处罚
- 1Meta (Facebook)FTC, 2019US$50亿
- 2MetaTexas Attorney General, 2024US$14亿
- 3GoogleTexas Attorney General, 2025US$13.75亿
- 4FacebookN.D. California (class action), 2021US$6.5亿
- 5Epic Games (Fortnite)FTC, 2022US$5.2亿
- 6Google (Web & App Activity)N.D. California (class action), 2025US$4.25亿
- 7TikTok and ByteDanceDOJ on behalf of FTC (C.D. California), 2026US$4亿
- 8Google (location tracking)40 US state attorneys general, 2022US$3.915亿
- 9Google / YouTubeFTC, 2019US$1.7亿
- 10TwitterFTC, 2022US$1.5亿
按隐私法规查看罚款
按国家/地区查看罚款
Leading Consent Management Platform
Compliant with GDPR, CCPA, COPPA, LGPD, PECR, PDPA, PIPEDA, and more.
常见问题
金额最高的 GDPR 罚款是多少？
金额最高的 GDPR 罚款为 12 亿欧元，由爱尔兰数据保护委员会于 2023 年 5 月对 Meta Platforms Ireland 作出，原因是在缺乏充分保护的情况下将 Facebook 用户数据传输到美国。
金额最高的 CCPA 罚款是多少？
迄今金额最高的 CCPA 处罚是通用汽车于 2026 年 5 月与加州总检察长达成的 1275 万美元和解，原因是在未告知的情况下出售驾驶员的位置和驾驶数据。加州隐私保护机构开出的最高罚款是 2026 年 11 月对 FedEx 的 297.5 万美元。
GDPR 罚款最高可达多少？
对于最严重的违规行为，最高可罚 2000 万欧元或公司全球年营业额的 4%，以较高者为准。
欧盟以外的公司会被依 GDPR 罚款吗？
会。只要公司向欧盟境内的人提供商品或服务，或监控其行为（包括在网站上追踪访客），无论公司位于何处，都适用 GDPR。
隐私罚款最常见的原因是什么？
在本页收录的案例中，最常见的问题是：Cookie 和追踪像素在获得同意前就已运行；退出请求和 Global Privacy Control 信号未被遵守；以及缺乏有效法律依据的广告。
本追踪页多久更新一次？
我们在 UniConsent 博客报道新的罚款、诉讼和截止日期时，会同步添加到本页。每个案例都链接到其来源和我们的分析。
如需了解这些案例背后的趋势分析，请阅读 2026 年 GDPR 执法与罚款 和 2026 年美国隐私：州法律、FTC 执法与集体诉讼风险.
最后更新
开始使您的网站和应用符合欧盟 GDPR、美国 CPRA、加拿大 PIPEDA 等法规
注册掌握隐私与同意管理的最新动态
隐私法规、同意管理与合规动态，每月几封邮件。