罗马法院以管辖权为由撤销Garante对OpenAI的1500万欧元罚款

2026年3月18日，罗马法院完全撤销了意大利数据保护机构对OpenAI的决定：1500万欧元罚款，以及一项命令，要求该公司开展为期六个月的公共信息宣传活动，说明ChatGPT如何基于个人数据进行训练。法院并未认定OpenAI已遵守GDPR。法院认定，Garante——即 Autorità Garante per la Protezione dei Dati Personali——不再是有权作出决定的机构。理由是管辖权——法院当天未解释这一点，直到2026年5月28日公布完整理由时才明确——而关键在于一个日期：爱尔兰数据保护委员会已于2024年2月15日认定 OpenAI Ireland Ltd 为该公司在欧洲经济区的单一设立机构，这比 Garante 的最终决定早了八个半月；而根据GDPR的一站式机制，届时该案卷本应已在都柏林。路透社于2026年3月19日报道了该裁决，并指出法院当时未发布任何解释；Garante拒绝置评。该记录的严重程度等级、置信度评级和完整来源列表载于Orca AI Incident Archive中，与围绕它归档的其他欧洲监管条目并列。

被撤销的是什么，以及法院没有说什么

所涉决定是 Garante 的 2024年11月2日第755号 provvedimento，该决定于2024年12月20日公布。它认定 OpenAI 未就2023年3月发生的一起个人数据泄露事件向监管机构通报，未先确定充分法律依据即处理用户个人数据用于训练 ChatGPT，违反了 GDPR 的透明度和信息义务，并且未设置任何年龄验证机制，结果是——用 Garante 的话说——13岁以下儿童可能面临接触到不适合其发育阶段的回答的风险。

根据 Garante 自己的说法，1500 万欧元这一金额在计算时“也考虑了该公司的合作态度”。该决定中更不寻常的部分是第二项命令。该机构首次援引《意大利隐私法典》第 166 条第 7 款，要求开展为期六个月的机构宣传活动，覆盖广播、电视、报纸和互联网，活动内容须与该机构商定，面向 ChatGPT 用户和非用户，并说明其数据如何被收集用于训练，以及如何反对、更正或删除这些数据。

2026年3月18日，法院完全撤销了该决定。当天未给出任何理由。Garante于3月19日收到判决，完整理由直到2026年5月28日才公开，正如Theodore Christakis和Giulio Monga在European Law Blog中所记载。OpenAI向Reuters发表的回应是，它欢迎该裁决，并“始终致力于尊重用户隐私”，还期待帮助更多意大利民众、企业和整个社会从AI中受益。Garante未置评。

三周，然后八个半月

时间顺序本身就是本案的关键。Garante 启动了制裁程序，日期为2024年1月26日。随后于2024年2月15日——约三周后——爱尔兰数据保护委员会正式承认 OpenAI Ireland Ltd 为 OpenAI 在欧洲经济区（EEA）的唯一设立机构。Garante 作出最终决定，日期为2024年11月2日，此时距该承认已过去约八个半月。

成立与认定之间的这一区别很重要。OpenAI Ireland Ltd 于2023年3月24日成立，但“单一设立机构”是欧盟数据保护法中的一个自主概念，取决于通过稳定安排有效且真实地开展活动；这两个日期不必重合。2024年2月15日发生变化的是，不是爱尔兰公司的存在，而是其为一站式机制目的获得认定。

GDPR第56(1)条赋予控制者主要或唯一设立机构所在成员国的监管机构对跨境处理的专属管辖权，并作为牵头监管机构。罗马法院依据欧洲数据保护委员会第8/2019号意见，尤其是其中第4.3.2节关于在行政诉讼已经待决期间设立主要或唯一设立机构，或将其从第三国迁入欧洲经济区（EEA）的内容。按照这种解释，在最终决定作出之前，管辖权可在任何时候转移至新的牵头监管机构，任何待决程序也必须随之移交。

Garante 此前已预见到这一问题，并拆分了这个案卷。其在 2024 年 12 月的新闻稿中表示，由于 OpenAI 在调查期间已在爱尔兰设立欧洲总部，该机构“将程序文件转交给爱尔兰数据保护委员会（DPC），该委员会成为 GDPR 下的牵头监管机构，以便继续调查在欧洲总部设立之前尚未处理完毕的任何仍在持续的侵权行为”。这一界定是 Garante 自己的说法：它保留了其认为已经完结的部分，并把其认为仍在继续的部分转交出去。法院认定，它无权作此拆分。

判决所依据的那个词

几乎整个争议都可归结为 Opinion 8/2019 第16段，该段称该意见中审查的问题“主要涉及具有持续或连续性质的侵权行为”。Garante 将此解读为一种限制：该传输逻辑是为持续性侵权行为设计的，无法涵盖在尚未存在任何 EEA 设立机构之前即已完成的行为。OpenAI 则将“主要”解读为描述性而非排他性。法院同意 OpenAI 的观点，认为“主要”指明的是该问题最常出现的那类案件，并不排除同一逻辑适用于侵权行为虽已完成、但程序仍在进行且尚未作出最终决定的案件。

Garante 退而求其次的论据是意大利民法典中的 tempus regit actum原则——即行为发生时有效的法律具有支配力。法院基于事实驳回了这一论据：这是一系列事实的先后接续，而非一系列法律的先后接续。按照该判决的逻辑，决定性的时点既不是侵权发生之日，也不是调查启动之日，而是最终决定作出之日。在此之后，权限即告确定。

从未进入实体审理

法院支持了第一项上诉理由——缺乏权限——并宣布其他所有理由均被“吸收”。它未就训练的法律依据、透明度、年龄验证或延迟的数据泄露通知作出任何认定。它也未就1500万欧元是否相称置一词。这些问题在形式上仍未得到回答。

这是报道中最容易丢失的要点。正如意大利公司 Rödl & Partner 在 2026 年 6 月的一份说明中所言，该判决“不应被解读为对 OpenAI 做法的实质性绿灯：它只是将权限移交给适当的监管机构”。该档案条目未记录此事件造成任何现实世界损害，这与该案的关键在于谁有权决定、而非已确认对特定个人造成损害相一致。

该文件在都柏林是否有归属

对该裁决最实质的反对意见是，受移送机关可能同样无法审理此案。Christakis 和 Monga 于2026年6月4日在《European Law Blog》上发表题为“先设立，再逃离？”（Establish, Then Escape?）的文章，主张法院的这种解读产生的不是管辖变更，而是执法缺口。他们给出的具体例子是数据泄露通知。泄露发生于2023年3月20日，向 Garante 通报的义务在72小时后到期，当时 OpenAI 在欧盟尚无设立机构，OpenAI Ireland Ltd 也尚未注册成立。Garante 将该违法行为认定为已经实施完毕，并自行保留了处理权；按照法院的逻辑，包括该项指控在内的整个决定都将失效。作者主张，爱尔兰当局的管辖权晚于该义务产生之时，且源自一个在该义务产生时尚不存在的设立机构，因此很难看出它如何能够就一项针对意大利数据主体、应向 Garante 履行的通报义务作出裁决。

他们对这一论证的局限性保持谨慎，读者也应如此。他们记录了相反立场——GDPR 是一项全联盟统一的文书，因此无论哪个监管机构成为牵头机构，都可在相关事实发生时予以执行——并称该问题尚有争议。他们指出，据其所知，此前没有任何国家法院裁决适用过 Opinion 8/2019 第 4.3.2 节；这是一名法官作出的初审判决；并且在他们看来，第 56 条对设立前行为的适用范围似乎尚未确定，而非清晰明确。他们的建议是依据《欧盟运行条约》第 267 条向欧洲法院提出初步裁决请求。

执法空白不仅是一种学理预测。Theodore Christakis 在裁决次日于 Cross-Border Data Forum 撰文指出，尚无其他欧洲数据保护机构就 2022 年 11 月至 2023 年 3 月 ChatGPT 上线期间违反 GDPR 的行为发布最终执法决定，并且 EDPB 2024 年 5 月的 ChatGPT 工作组报告仅包含初步意见。据此，欧洲在生成式人工智能上线期间作出的唯一最终 GDPR 执法决定如今已被撤销。

3月18日之后发生了什么变化？

罚款已经暂缓执行。2025年3月21日，同一法院在判决前暂缓了处罚的效力，但以担保为条件——一笔cauzione，即保证金，这是Altalex对该命令的叙述。该暂缓并未触及实体问题，一年后的撤销也同样没有触及。

Garante 与其说是将此案从记录中删除，不如说是将其搁置一旁。其关于第 755 号决定的新闻稿页面如今附有一则通知，称该决定在第 4153/2026 号判决之后“已从 Garante 网站上暂时移除”。这个词是该机构自己的用词：暂时。

关于上诉问题，各来源的说法一致但并不完整。Christakis 和 Monga 指出，Garante 仍可能向 Corte di Cassazione 提起上诉。Cross-Border Data Forum 于2026年3月19日记载，由于推理理由尚未公布，该机构当时无法说明是否会提起上诉。在本文查阅的来源中，我们没有发现此后有任何提交上诉申请的报道，也没有发现爱尔兰数据保护委员会对移交文件作出最终决定。这两处缺失都不能证明什么也没发生；两者都意味着结果尚未尘埃落定。

已确立、已论证且开放

• 确认：2026年3月18日第4153/2026号判决完全撤销了2024年11月2日第755号决定，取消1500万欧元罚款和为期六个月的媒体宣传令；该判决主文于当日宣读，未附理由；已公布的理由依据一站式机制、DPC于2024年2月15日对OpenAI Ireland Ltd的认可，以及EDPB第8/2019号意见。

• 争议点：待决案卷能否被适当移交给其权限晚于所涉行为发生时间的机关。法院给出了肯定答案；Christakis 和 Monga 认为，这种解读会使设立前的行为无法执行，并希望由欧盟法院裁决；Rödl & Partner 和 ICT Legal Consulting 则将该判决描述为澄清一站式机制如何适用于程序中途变更设立地的情况。

• 未决事项：Garante 是否会将案件提交至最高上诉法院（Corte di Cassazione）、是否有任何法院会将案件提交至卢森堡，以及爱尔兰当局是否终会就其收到的部分案卷作出决定。

1500万欧元没了。该案提出的问题——在欧洲，谁可以在生成式人工智能提供商尚未在欧洲设立机构之前的这段时期，要求其遵守《通用数据保护条例》（GDPR）——只是被转到了另一个部门。