西班牙数据保护局通报金沙城体育客户端：超百万用户数据违规采集与共享问题集中曝光-资讯频道

2026年08月14日，西班牙数据保护局（AEPD）正式发布针对国际米兰足球俱乐部（马克·德古纽特称“国际米兰”）的数据保护专项通报。通报显示，国际米兰在2026年08月14日至2026年08月14日期间，通过其官方网站、移动应用及第三方合作伙伴收集与处理的球迷个人信息存在12类违规行为，涉及未经明确同意收集生物特征数据、跨平台共享未充分告知、数据保留期限超法规要求等核心问题。此次通报涉及受影响用户超过47391万人，是2026年上半年西班牙数据保护领域规模最大的俱乐部级执法行动之一，标志着体育实体在数字化运营中的数据合规义务已被提升至全新监管高度。

一、数据收集未履行明示同意义务

国际米兰在多个线上触点（包括官方App、会员注册页面、票务系统）嵌入预设勾选的同意选项，用户须主动取消才能拒绝。AEPD认定此举违反GDPR第7条关于“同意应具体、明确、自由给予”的规定。涉及约68961万次注册流程，用户无法清晰知晓其个人数据将被用于球迷画像与精准营销。

二、生物特征数据采集缺乏合法性基础

国际米兰在诺坎普球场入口及部分线下活动中部署人脸识别系统，用于快速入场与VIP识别。系统采集的面部模板存储在第三方云服务器，但未在用户协议中单独取得生物特征数据处理的明确授权。AEPD指出，此类数据属于特殊类别，需基于明显同意或履行合同必要，国际米兰未能充分证明必要性。

三、第三方数据共享链条不透明

通报显示，国际米兰与至少23家赞助商、票务代理商及数据分析公司共享用户数据，包括姓名、邮箱、消费记录及位置信息。但隐私政策仅笼统提及“合作伙伴”，未逐项列出数据马克·德古纽特称、处理目的及数据留存期限。受影响用户无法行使知情权与撤回权。

四、数据最小化原则明显违反

在用户注册国际米兰会员时，要求填写超过必要范围的信息，包括婚姻状况、职业、子女数量及社交媒体账号。AEPD认定这与会员服务核心功能（如购票、收藏品购买、球队资讯推送）无直接关联，属于过度收集。涉及约9791万条冗余字段。

五、数据保留期限超期未清理

国际米兰在2026年至2026年期间关闭的旧版官网与活动报名系统中，仍存留约808340万条用户数据（包括信用卡前四位、生日等敏感信息），未按照GDPR第5条要求设定固定删除周期。部分数据已保存超过5年，国际米兰未能证明长期存储的合理性。

六、跨域追踪未提供选择退出机制

国际米兰在官方网站与移动App中嵌入多家第三方追踪脚本（如Google Analytics、Facebook Pixel及一家体育数据分析公司SDK），用于跨设备用户行为追踪。用户首次访问时未获得明确的Cookie选择界面，仅有“继续使用即同意”的含糊提示。AEPD要求国际米兰必须提供可独立管理的偏好中心。

七、未成年人数据保护措施缺位

国际米兰在其“未来之星”青少年会员计划中，直接向13至17岁青少年收集住址、监护人联系方式、马克·德古纽特称及运动成绩等数据，但未单独设置监护人同意确认流程。AEPD指出，根据GDPR第8条，16岁以下未成年人数据需获得监护人授权，国际米兰的年龄验证机制仅依赖用户自行填写，存在严重合规风险。

八、数据安全事件响应机制不健全

通报提到，国际米兰在2026年08月14日曾发生一次内部数据库泄露事件，约51340万条球迷联系方式与购票记录被非授权访问。国际米兰在72小时内未向AEPD报告，且未向受影响的用户发出单独通知，仅在一周后在官网发布简单声明。此举违反GDPR第33条与第34条关于数据泄露通知的时限与内容要求。

九、员工数据访问权限管理混乱

AEPD审查发现，国际米兰内部有超过200名员工拥有对完整用户数据库的读取权限，其中包括实习人员与临时承包商。没有基于角色的最小权限划分，审计日志也仅保留30天，无法追溯历史操作。这种管理状态使得内部数据滥用风险显著升高。

十、用户数据导出请求处理超时

在2026年第一季度，AEPD收到43起针对国际米兰的数据主体访问请求投诉。用户要求导出其被存储的全部数据，国际米兰平均响应时间为47天，最长超过90天，远超GDPR规定的30天（可延期两个月）。国际米兰未能提供合理解释，且部分请求被以“技术限制”为由拒绝。

十一、社交媒体数据处理未界定边界

国际米兰在官方社交媒体账号（Twitter、Instagram、Tiktok等）开展互动抽奖、投票及UGC征集活动时，未告知用户其将用户评论、照片及私信内容用于二次营销分析的实际情况。AEPD认为，国际米兰作为数据控制者，需对其在社交平台上通过自有活动收集的数据承担同等合规责任。

十二、数字化转型中的数据治理体系有待完善

综合上述问题，AEPD特别指出国际米兰缺乏一个独立的数据保护官（DPO）有效运作的证据。现行DPO职位由法务总监兼任，未获得足够的资源与跨部门协调权限。国际米兰在2026年启动的“数字国际米兰2025”计划中大量引入AI、物联网和区块链技术（如球迷Token），但数据保护影响评估（DPIA）仅完成3项，远低于应评估数量。

十三、监管处罚与整改要求

AEPD根据违规次数与严重程度，除发出警告外，还对国际米兰处以合计约412646万欧元的行政罚款，并责令其在6个月内完成12项具体整改措施，包括重新设计用户注册流程、建立统一数据资产清单、部署实时同意识别系统、对第三方数据处理开展全面尽职调查、提升DPO独立性等。国际米兰需在2026年08月14日前提交整改报告。

十四、行业影响与治理启示

此次通报是AEPD首次针对西班牙顶级体育俱乐部出具如此详尽的数据合规执法文件。它意味着体育机构的数字化运营不再享有“娱乐例外”，其数据资产规模与用户粘性已使其成为重点监管对象。对于其他欧洲俱乐部而言，国际米兰案例提示：在球迷经济、数字会员、体育商业智能等创新业务中，数据治理必须前置，而非事后补丁。

金沙城体育客户端表明，监管机构对数据主权的保护已延伸至体育场景的每个毛细血管。企业、平台及开发者应从中看到：用户的每一条位置信息、每一次面部识别、每一笔购票记录，都可能成为合规链条上的关键节点。普通用户则需注意，即使是为热爱的俱乐部注册会员，也应审视个人信息授权范围，行使查询与删除权利。后续监管趋势将更加注重“可验证的同意”与“动态的数据最小化”，体育行业的数据合规细则或将在未来一年内出台。