GDPR 罰則怎麼算？歷年重大裁罰案例整理
GDPR 罰則依歐盟《一般資料保護規則》第 83 條分為兩級：一般違規最高 1,000 萬歐元或全球年營業額 2%，違反處理原則、當事人權利或跨境傳輸等核心規定，最高 2,000 萬歐元或全球年營業額 4%，兩者都取較高者。上限之下實際罰多少，由主管機關依 11 項因素逐案裁量，這也是 GDPR 罰則最常被誤解的地方。
台灣企業的法務最常問的是：「我們在歐洲沒有公司，真的會被罰嗎？」下面先說明罰款怎麼算，再整理有官方公告可查的重大裁罰案例，最後評估台灣企業實際面對的風險。若需要盤點自家的落差，可參考我們的 GDPR 合規顧問 服務。
GDPR 罰款上限：兩個級距怎麼分？
GDPR 罰款上限分兩級，差別在違反哪一類條文。第 83 條第 4 項針對管理與程序義務，第 5 項針對資料處理的核心規定；同一事件若因相關聯的處理行為違反多條規定，依第 83 條第 3 項，總額不得超過最重那一項的上限。
| 級距 | 上限 | 主要涵蓋的條文 | 常見情境 |
|---|---|---|---|
| 第一級（第 83 條第 4 項） | 1,000 萬歐元或全球年營業額 2%，取較高者 | 第 8、11 條，第 25 至 39 條，第 42、43 條 | 沒有 RoPA、未做 DPIA、委外未簽處理合約、安全措施不足、外洩未於 72 小時內通報 |
| 第二級（第 83 條第 5 項） | 2,000 萬歐元或全球年營業額 4%，取較高者 | 第 5、6、7、9 條，第 12 至 22 條，第 44 至 49 條，不遵守主管機關命令 | 無合法依據處理、同意無效、未回應當事人請求、違法跨境傳輸 |
「全球年營業額」不只看被罰的那家公司。歐盟法院 2023 年 12 月 5 日在 Deutsche Wohnen 案（C-807/21）判決，罰款上限應以競爭法上的「企業」概念計算，被罰者屬於集團時，以整個集團前一會計年度的全球營業額為基礎。對在歐洲設子公司的台灣集團來說，這代表上限是用台灣母公司合併營收來算。
主管機關怎麼決定罰多少？
罰款金額由主管機關依 GDPR 第 83 條第 2 項的 11 項因素逐案判斷，罰款必須有效、合乎比例並具嚇阻力。違規的性質與期間、受影響人數、故意或過失、是否主動減損、與主管機關的合作程度，都會讓金額相差數倍。
其中「故意或過失」不是形式條件。Deutsche Wohnen 案確認，GDPR 罰款以違規具有故意或過失為前提。2026 年 3 月 12 日，盧森堡上訴法院撤銷了 2021 年對 Amazon 開出的 7.46 億歐元罰款，並發回主管機關 CNPD 重新處理；依當地報導，原因是裁罰程序未充分評估 Amazon 是故意還是過失。網路上不少文章仍把這筆罰款列為現行最高紀錄，引用時要注意。
對企業最實用的是第 2 項的 (c)、(f)、(h) 三款：事故發生後採取了哪些減損措施、是否配合調查，以及主管機關是怎麼知道的、企業有沒有主動通報。這三件事都在企業自己能控制的範圍內。
GDPR 重大裁罰案例：哪些行為被罰最重？
從近年的 GDPR 罰則執行來看，重大裁罰集中在三類行為：違法把歐盟個資傳到境外、缺乏有效同意就做行為廣告，以及對個人做出全自動決定。下表只列有主管機關或歐洲資料保護委員會（EDPB）公告可查的案例。
| 企業 | 主管機關 | 決定時間 | 罰款 | 主要違規 |
|---|---|---|---|---|
| Meta Platforms Ireland | 愛爾蘭 DPC | 2023 年 5 月 | 12 億歐元 | 以標準契約條款傳輸用戶資料至美國，保護不足，並被命令停止傳輸 |
| Uber | 荷蘭 AP | 2026 年 8 月 | 8.2499 億歐元 | 以系統全自動停權司機帳號（第 22 條），剖析資訊揭露不足（第 13 條）；Uber 已提起上訴 |
| TikTok | 愛爾蘭 DPC | 2025 年 5 月 | 5.3 億歐元 | 歐洲用戶資料可由中國存取，且透明度不足 |
| 愛爾蘭 DPC | 2024 年 10 月 | 3.1 億歐元 | 行為分析與精準廣告欠缺合法依據，同意無效；另有申誡與限期改正命令 | |
| Uber | 荷蘭 AP | 2024 年 7 月 | 2.9 億歐元 | 司機資料傳回美國總部兩年以上，未使用任何傳輸工具（第 44 條） |
| Clearview AI | 荷蘭 AP | 2024 年 5 月 | 3,050 萬歐元，另有最高約 510 萬歐元的強制金 | 未經合法依據蒐集臉部生物特徵、未回應查詢請求、未指定歐盟代表人 |
Clearview AI 對台灣企業最有參考價值。這家美國公司在歐盟沒有據點，主張不受 GDPR 管轄，荷蘭主管機關仍依 GDPR 開罰，並把「沒有指定歐盟代表人」列為違規之一。
罰款之外，主管機關還能怎麼處分？
罰款只是 GDPR 第 58 條第 2 項 10 種糾正權力中的一種。主管機關也可以警告、申誡、命令限期改正、命令通知當事人外洩事故、暫時或永久限制甚至禁止處理、命令刪除資料，以及命令暫停傳輸資料到第三國。
對做生意的企業來說，停止傳輸命令往往比罰款更傷。Meta 案除了罰款，還被命令停止把資料傳到美國；如果台灣總部的 CRM、ERP 依賴歐洲子公司傳回的資料，一紙暫停傳輸命令就可能讓系統停擺。當事人另可依第 82 條，就所受的物質或非物質損害向企業請求賠償。
台灣企業的實際風險有多大？
台灣企業被 GDPR 罰則處以天價罰款的機率不高，但風險真實存在，而且通常先以客戶稽核、合約責任的形式出現。依 GDPR 第 3 條第 2 項，即使在歐盟沒有據點，只要向歐盟境內的人提供商品或服務，或監控其行為，就適用 GDPR。
台灣目前不在歐盟執委會的適足性認定名單上，歐盟個資傳回台灣必須另有傳輸工具，最常用的是 SCC 標準契約條款。實務上我們看到台灣企業最常遇到的情境，是歐洲客戶在簽約前要求填寫隱私問卷、簽署資料處理協議，或在發生外洩後追究契約責任；這些要求沒做到，掉的是訂單，不是罰單。
風險最高的是三類台灣企業：在歐洲設有子公司或分公司的集團、經營歐洲市場電商或 App 的業者，以及替歐洲客戶處理資料的軟體委外、雲端與客服中心。第一類要特別注意前面提到的集團營業額計算方式。
降低 GDPR 罰則風險的 5 個做法
降低 GDPR 罰則風險，重點不是一次做到完美，而是能證明企業已經盡力且持續改善，這正好對應第 83 條第 2 項的裁量因素。下面五件事是多數台灣企業可以先做的：
- 建立處理活動紀錄，依 GDPR 第 30 條寫清楚目的、合法依據與保存期限，做法可參考 RoPA 的建立方式。
- 檢視所有傳回台灣或其他國家的資料流，確認每一條都有 SCC 等合法傳輸工具。
- 檢查網站與 App 的 Cookie 同意 機制，行為追蹤與廣告必須取得有效同意。
- 確認是否必須依第 27 條指定歐盟代表人，以及依第 37 條指定資料保護長。
- 建立 72 小時外洩通報流程並演練，事故發生時才能主動通報、降低裁量上的不利因素。
想知道公司落在哪一級風險，先從哪裡查？
先回答三個問題：有沒有歐盟境內的客戶、會員或員工資料；這些資料有沒有傳回台灣或第三國；網站或 App 有沒有追蹤歐盟使用者的行為。只要有一題答「有」，GDPR 就與您有關，下一步是盤點資料流與傳輸工具。
想確認現有做法是否足以應付客戶稽核與主管機關調查，可以 從一場 30 分鐘的諮詢開始。
GDPR 罰則常見問題
GDPR 最高罰多少？
GDPR 最高罰款為 2,000 萬歐元或全球年營業額 4%，取較高者，適用於違反處理原則、合法依據、當事人權利或跨境傳輸等核心規定。被罰企業屬於集團時，依歐盟法院 Deutsche Wohnen 案判決，以整個集團的全球營業額計算上限。單筆最高紀錄是 2023 年 Meta 的 12 億歐元。
台灣公司被 GDPR 罰過嗎？
公開的重大 GDPR 裁罰對象以美國科技公司為主，在主管機關公告的大型案例中較少見到台灣企業。但 GDPR 適用於在歐盟沒有據點、卻向歐盟提供商品服務或監控其行為的企業，美國的 Clearview AI 就在沒有歐盟據點的情況下被荷蘭主管機關開罰，台灣企業不能以「沒在歐洲設公司」為由忽略。
GDPR 罰款怎麼執行？
罰款由企業主要據點所在國的主管機關裁決，跨國案件透過 GDPR 的單一窗口機制（one-stop-shop），由主導主管機關提出決定草案，其他國家主管機關可以表示意見。企業可向當地法院提起救濟，Amazon 案就在 2026 年由盧森堡上訴法院撤銷罰款並發回重審。主管機關也可以加上強制金，要求企業在期限內停止違規。
參考資料
- Regulation (EU) 2016/679（GDPR） – 第 3、58、82、83 條：適用範圍、糾正權力、損害賠償與罰款。歐盟 · 2016 年 4 月 27 日通過
- CJEU C-807/21 Deutsche Wohnen 新聞稿 – 罰款須有故意或過失，上限以集團全球營業額計算。歐盟法院 · 2023 年 12 月 5 日
- Irish DPC fines LinkedIn Ireland €310 million – 行為廣告欠缺合法依據。愛爾蘭 DPC · 2024 年 10 月 24 日
- Dutch DPA fines Uber EUR 824 990 000 – 全自動決定與剖析資訊不足。EDPB · 2026 年 10 月 8 日
- Dutch SA fines Clearview – 無歐盟據點的美國公司被裁罰。EDPB
