羅馬法院以管轄權為由，撤銷 Garante 對 OpenAI 的 1,500 萬歐元罰款

2026年3月18日，羅馬法院完全撤銷了義大利資料保護主管機關對OpenAI所作的決定：1,500萬歐元罰款，以及一項命令，要求該公司進行為期六個月的公開資訊宣導，說明ChatGPT如何以個人資料進行訓練。法院並未認定OpenAI已遵守GDPR。法院認定，Garante——Autorità Garante per la Protezione dei Dati Personali——已不再是有權作出決定的機關。理由是管轄權——法院當天並未解釋這一點，直到2026年5月28日公布完整理由時才明朗——而關鍵在於一個日期：愛爾蘭資料保護委員會已於2024年2月15日承認OpenAI Ireland Ltd為該公司在歐洲經濟區的單一機構，這比Garante的最終決定早了八個半月；依據GDPR的一站式機制，該案卷屆時本應已在都柏林。Reuters於2026年3月19日報導該裁決，並指出法院當時未發布任何解釋；Garante拒絕置評。該紀錄的嚴重程度等級、信心評級與完整來源清單位於Orca AI Incident Archive，與其周邊歸檔的其他歐洲監管條目並列。

什麼被撤銷了，以及法院沒有說什麼

本案所涉決定，是 Garante 的2024年11月2日第755號裁決，於2024年12月20日公布。該裁決認定 OpenAI 未就 2023 年 3 月遭遇的個人資料外洩事件通知主管機關、未先確認具備適當法律依據即處理使用者個人資料以訓練 ChatGPT、違反 GDPR 的透明度與資訊義務，且未建立任何年齡驗證機制，結果——用 Garante 的話來說——13 歲以下兒童恐面臨接觸到不適合其發展階段之回應的風險。

依 Garante 自己的說法，1,500 萬歐元這個金額的計算是「也考量了該公司的合作態度」。這項決定更不尋常的部分是第二項命令。該局首次援引義大利隱私法典第 166 條第 7 款，要求展開為期六個月的機構宣導活動，涵蓋廣播、電視、報紙和網路，其內容須與該局議定，對象包括 ChatGPT 使用者與非使用者，並說明其資料如何被蒐集用於訓練，以及如何反對、更正或刪除。

2026年3月18日，法院完全撤銷該決定。當天未提供任何理由。Garante於3月19日收到判決，而完整理由直到2026年5月28日才公開，正如Theodore Christakis與Giulio Monga在European Law Blog所記載。OpenAI發給Reuters的回應表示，該公司歡迎這項決定，並稱自己「一直致力於尊重用戶隱私」，也期待協助更多義大利民眾、企業與社會從AI受益。Garante不予置評。

三週，然後八個半月

關鍵在於時間順序。Garante 於 2024年1月26日啟動其制裁程序。2024年2月15日——約三週後——愛爾蘭資料保護委員會正式承認 OpenAI Ireland Ltd 為 OpenAI 在 EEA 的唯一機構。Garante 於 2024年11月2日作出最終決定，距該承認約八個半月。

OpenAI Ireland Ltd 於 2023 年 3 月 24 日註冊成立，但「單一機構」是歐盟資料保護法中的自主概念，取決於是否透過穩定安排有效且實際地從事活動；這兩個日期不必一致。2024 年 2 月 15 日改變的，並非愛爾蘭公司是否存在，而是其就一站式機制目的而言獲得的認可。

GDPR 第56條第1項賦予控管者主要或單一設立機構所在地之監管機關，以主導監管機關身分，對跨境處理享有專屬管轄權。羅馬法院援引歐洲資料保護委員會第8/2019號意見，尤其是其中第4.3.2節；該節討論在行政程序已繫屬時，主要或單一設立機構之設立，或其由第三國遷入歐洲經濟區之情形。依此解釋，管轄權得於最終決定作成前之任何時點移轉至新的主導監管機關，且任何已繫屬之程序均須隨之一併移轉。

Garante 已預見這個問題，並將檔案拆分。其 2024 年 12 月的新聞稿指出，由於 OpenAI 在調查期間已於愛爾蘭設立歐洲總部，該機關「將程序文件轉交愛爾蘭資料保護主管機關（DPC），後者成為 GDPR 下的主導監管機關，以繼續調查在歐洲總部設立前尚未處理完畢的任何持續違法行為」。這項定性是 Garante 自己的說法：它保留了其認為已結束的部分，送出其認為仍在持續的部分。法院認定，它無權作此拆分。

判決所依據的那個詞

几乎整个争议都可归结为第8/2019号意见第16段，该段称该意见所审查的问题「主要涉及具有持续或连续性质的侵权行为」。Garante将此理解为一种限制：传输逻辑是为持续侵权而设计的，无法涵盖在任何EEA设立存在之前即已完成的行为。OpenAI则将「主要」理解为描述性而非排他性。法院同意OpenAI的看法，认定「主要」所指明的是该问题最常出现的那类案件，并不排除同一逻辑适用于已完成的侵权，只要程序仍在进行且尚未作出最终决定。

Garante 的備位主張是義大利民法典的tempus regit actum原則——即行為時有效之法律為準據。法院以事實為由駁回此一主張：這是一連串的事實，而非一連串的法律。依判決之邏輯，具決定性的時點既非侵權行為之日，亦非調查啟動之日，而是最終決定作成之日。在此之後，管轄權即告確定。

從未進入實體審理

法院維持了第一項上訴理由，即缺乏管轄權，並宣告其餘各項理由均「被吸收」。法院並未就訓練的法律依據、透明度、年齡驗證或延遲通報資料外洩等問題作出認定，亦未說明1,500萬歐元是否合乎比例。這些問題在形式上仍未獲解答。

那正是報導中最容易被忽略的重點。正如義大利事務所 Rödl & Partner 在 2026 年 6 月的一份說明中所言，該判決「不應被解讀為對 OpenAI 做法實質上開綠燈：它只是將權限移轉給適當的監管機關」。該檔案條目並未記錄此事件造成任何現實世界中的損害，這與該案取決於誰有權決定、而非取決於已證實對特定人士造成傷害的情況相符。

該檔案在都柏林是否有個歸宿

對該裁定最實質的反對意見是，受移送機關可能同樣無法審理此案。Christakis 與 Monga 於 2026 年 6 月 4 日在 European Law Blog 以「Establish, Then Escape?」為題撰文主張，法院的這種解讀所造成的是執法缺口，而非審判地變更。他們舉的具體例子是資料外洩通知。該外洩發生於 2023 年 3 月 20 日，而向 Garante 通知的義務於七十二小時後屆至；當時 OpenAI 在歐盟並無設立機構，OpenAI Ireland Ltd 也尚未成立。Garante 將該違規認定為已完成，並保留由自己處理；依法院的邏輯，整個決定——包括該項指控——都將失效。作者主張，愛爾蘭機關的管轄權是在該義務發生之後才出現，且源自義務發生時尚不存在的設立機構，因此很難看出它如何能裁斷一項就義大利資料當事人而對 Garante 所負的通知義務。

他們審慎看待該論證的界限，讀者也應如此。他們記錄了相反立場——GDPR 是一項適用於整個聯盟的單一文書，因此無論哪個機關成為主導機關，都可於事實發生時執行之——並稱此問題可爭辯。他們指出，據其所知，並無任何較早的國家法院裁判適用第 8/2019 號意見第 4.3.2 節；本案是單一法官作出的初審判決；且在他們看來，第 56 條對設立前行為的適用範圍似乎尚未確定，而非明確。他們的建議是依《歐洲聯盟運作條約》第 267 條向歐盟法院提出先決問題移送。

執法缺口不僅是學理上的預測。Theodore Christakis 在裁決隔日於 Cross-Border Data Forum 撰文指出，沒有其他歐洲資料保護機構曾就 2022 年 11 月至 2023 年 3 月 ChatGPT 推出期間的 GDPR 違規行為發布最終執法決定，且 EDPB 於 2024 年 5 月發布的 ChatGPT 工作小組報告僅包含初步意見。據此，歐洲在生成式 AI 推出期間所作出的唯一最終 GDPR 執法決定，如今已被撤銷。

3月18日之後有什麼改變？

罰款早已暫緩執行。2025年3月21日，同一法院在判決前中止該處罰的效力，條件是提供擔保——cauzione（即保證金），根據 Altalex 對該裁定的記述。該中止並未觸及實體問題，一年後的撤銷也同樣沒有。

Garante 與其說是將此案從其紀錄中移除，不如說是將其擱置。其第 755 號裁決的新聞稿頁面如今載有一則公告，指出在第 4153/2026 號判決之後，該裁決「已暫時從 Garante 的網站移除」。這「暫時」一詞是該機關自己的用語。

在上訴問題上，各方資料來源一致但不完整。Christakis 與 Monga 指出，Garante 仍可能向 Corte di Cassazione 提出上訴。Cross-Border Data Forum 於 2026 年 3 月 19 日記載，由於理由尚未公布，該機關當時無法表示是否會上訴。在本文檢視的資料來源中，我們未發現之後有任何提出上訴的報導，也未發現 Irish Data Protection Commission 對移交案卷作出最終決定。這兩項「未發現」都不能證明什麼事都沒發生；兩者都意味著結果尚未底定。

已確立、有爭議、懸而未決

• 確認：2026年3月18日第4153/2026號判決撤銷2024年11月2日第755號決定之全部，撤除1,500萬歐元罰款及為期六個月的媒體宣傳命令；該判決主文於當日宣讀，未附理由；且已公布的理由係基於一站式機制、DPC於2024年2月15日對OpenAI Ireland Ltd之認可，以及EDPB第8/2019號意見。

• 爭點：待決卷宗是否可妥善移交給管轄權晚於系爭行為發生時才產生的機關。法院表示可以；Christakis 與 Monga 認為這種解讀會使設立前的行為無法強制執行，並希望由歐盟法院裁決；Rödl & Partner 與 ICT Legal Consulting 則將該判決描述為釐清一站式機制如何適用於程序進行中變更設立地。

• 未決： Garante 是否將此案上訴至最高法院（Corte di Cassazione）、是否有任何法院將其提交至盧森堡，以及愛爾蘭主管機關是否會就其收到的那部分卷宗作出決定。

那 1500 萬歐元已經沒了。該案提出的問題——在歐洲，誰能就生成式 AI 供應商在尚未於歐洲設立機構之前的期間，要求其遵守 GDPR——只是被挪到了另一張辦公桌上。