摘要：2019年6月西班牙数据保护局AEPD因Laliga（西班牙足球甲级联赛，简称西甲）官方app非法获取用户信息，对其做出25万欧元（约195万人民币）的处罚。分析其被罚原因，主要是因为其没有充分保护数据主体的知情权，履行充分告知义务。下面来跟 SCA 一起分析违规原因探讨合规启示吧。

案件事实概述

根据APED方面透露称，调查开始于1年之前，他们认为Laliga的app在用户使用并且观看比赛时，会获取用户的所处位置，并且会获得麦克风权限，他们认为这存在欺诈行为，对其罚款25万欧元。

Laliga官方强调称，他们的app遵守了欧盟《一般数据保护法案》（GDPR）以及西班牙《数据安全与电子信息保护法案》，并不存在违规。

他们还指出，Laliga的App只是会获取用户0.75%的信息来使用特别的声纹，而剩下的99.25%的信息，都会被自动过滤。换句话说，即使App获取了麦克风权限，也不会知道使用者说了什么。

APED认为足球联盟LaLiga被罚款，原因是其提供的APP每分钟访问一次用户手机的麦克风，LaLiga 没有将这一事实充分告知用户，且该应用程序不满足用户可以撤回同意的法律要求。

处罚依据

根据GDPR 第5条 个人数据处理原则 第1款（a）项的规定：个人数据应该以合法公正透明的方式进行涉及数据主体的处理（“合法、公正和透明”原则）。而LaLiga没有告知用户其有访问用户的麦克风；

根据GDPR 第7条 同意的条件 第3款的规定：数据主体有权随时撤回其同意。同意的撤回不应影响撤回前基于该同意进行的数据处理的合法性。在作出同意之前，数据主体应被告知前述权利。撤回同意和作出同意应该一样容易。

Laliga官方确认了相关的消息，并且表示已经缴纳罚款，但是对于结果表示不服，并且指出APED并没有进行足够的调查来了解APP的具体使用和运行方式。

合规启示

由上可知，Laliga官方APP未充分告知用户其访问用户手机的麦克风，且剥夺了用户撤回同意的权利，是其被罚的主要原因，虽然其坚称自己遵守了法律。因此，相关 APP 的隐私设置中，在获取用户同意时，应当将相关处理事实充分告知用户；另外，依据GDPR的规定，企业在APP中应设置简单易行的操作方式以供用户行使撤回同意的权利。

由Laliga官方APP被处罚，结合国内的正在进行的APP整治工作，SCA通信联盟认为，对于出海互联网企业来讲，除去严格遵守GDPR，数据合规工作是每个企业都必须进行的一项工作，有必要进项相关培训学习。各国监管机关都在做加强数据安全保护工作，在数据隐私安全的大环境下，合法盈利是被支持的。

PS：本文由SCA结合相关法律文件及报导整理，转载请注明出处。SCA安全通信联盟始终关注安全通信和身份认证领域，亦在信息安全领域提供中立、专业的GDPR、网络安全等级保护、信息安全技术认证、相关合规的咨询和培训服务。欢迎关注SCA官方微信公众号“奥航智讯”留言讨论。更多GDPR相关内容请点击下方文字链接：

SCA连载系列之| GDPR个人数据处理的6大原则包含哪些内容？

SCA连载系列之| GDPR个人“同意”后才能收集用户信息，要怎样操作才合规？

SCA连载系列之GDPR合规| 从数据主体处收集信息时的信息提供，应包含哪些内容？

SCA连载GDPR罚单之 | 英国航空公司数据泄露事件

SCA连载GDPR罚单之| 德国首例GDPR 数据处理案件，为啥罚单是2万欧元？轻罚的依据是什么？

SCA连载GDPR罚单之| 德国数据保护局vs德国学术机构，谁是数据控制者？

SCA连载GDPR罚单之| 葡萄牙数据监管机构认定Barreiro医院违反GDPR

SCA连载罚单之| 挪威奥斯陆市教育局63000名学生个人信息泄露事件

SCA连载GDPR罚单 | 丹麦IDdesign公司被罚150万丹麦克朗案件