ENTITY FIRST
已经完成整理的市场变化与规则
CNIL于2026年7月21日作出最终决定，对IT与工程公司EXTIA罚款30万欧元，理由是违反GDPR第12条和第17条关于透明度与删除权的规定。EXTIA在2024年收到的265份删除请求中，超过四分之三未处理或处理不当，其中12份未处理、166人未被告知处理结果、27人被告知逾期（超过法定一个月期限）。
推荐理由：该通报涉及 GDPR 删除请求处理与告知义务，可作为检查候选人、员工数据删除流程的参考。处罚金额和处理情况按 CNIL 在 EDPB 发布的信息转述，尚未做独立交叉核验。
法国数据保护机构 CNIL 于 2026 年 9 月 3 日对 Hôpital Privé de la Loire 处以 500,000 欧元罚款，认定其违反 GDPR 第 32 条和第 34 条。
CNIL 发布 Genmod 演示工具新版本，支持法语和英语界面，无深度限制的搜索平均耗时约二十秒，并可基于 HuggingFace 公开数据每周自动更新图谱。该工具最初于 2025 年 11 月发布，用于追踪开源权重模型的祖先与后代，帮助研究模型记忆训练数据的后果及 GDPR 权利的行使。
来源材料，尚未完成事件与案例整理
CNIL于2026年9月23日通过决议，关闭2026年1月22日对FRANCE TRAVAIL发出的整改令，因其已合规，无需支付每日€5,000的逾期罚金。此前，CNIL限制委员会因求职者数据安全措施不足，于2026年1月对FRANCE TRAVAIL处以€5 million罚款，并要求其落实密码策略、多因素认证、日志监控及数据访问限制等GDPR第32条规定的安全措施。
EDPB 在 9 月 21 日的全会上通过了关于 GDPR 行政罚款权力的指南，以及 DSA 与 GDPR 互动的最终版指南。新指南提出 DPA 决定是否罚款的五步方法，并提供 14 个实践案例，将于 2026 年 11 月 13 日前公开征求意见。DSA-GDPR 指南则在公开征求意见后定稿，以支持两部法律的一致适用。
CNIL、法国劳动与团结部及AFCDP于2026年9月22日发布第五期DPO观察站研究结果，该研究由Afpa执行，聚焦AI与AI Act对数据保护官（DPO）角色的影响。
CNIL 于 2026 年 7 月 21 日对 EXTIA 处以 30 万欧元罚款，因其违反 GDPR 关于个人权利的规定，特别是删除权（“被遗忘权”）。2024 年 EXTIA 收到的 265 项删除请求中，超过四分之三未得到处理或处理不当，其中 12 项未处理、166 人未获通知、27 人通知逾期。罚款还考虑了 EXTIA 曾两次被提醒履行义务的情况。
2026年9月3日，CNIL 因 HÔPITAL PRIVÉ DE LA LOIRE 未采取适当措施保障患者及部分亲属数据安全，对其处以 50 万欧元罚款。2025年夏，攻击者通过医院电子健康患者摘要（DPI）的认证漏洞，访问了 524,867 名患者及 202,246 名“受信任第三方”的数据。
