專家詳解攜程千萬罰單背后：數據出境的合規漏洞出在哪？

　　攜程被處罰！這次是數據出境踩了“紅線”。

　　據上海市網信辦6月13日的通報：針對上海攜程商務有限公司未落實數據出境安全評估要求、違法出境個人信息等行為，依據《個人信息保護法》，予以罰款1000萬元的行政處罰，并責令企業限期改正。

　　對于違法行為是否已造成用戶數據泄露、出境數據是否存在被濫用風險、具體整改措施等問題，中新網記者向攜程方面求證，截至發稿時未獲回應。

　　“從公開信息來看，此次攜程被罰存在‘未落實數據出境安全評估要求、違法出境個人信息’這一違法行為，并且存在‘情節嚴重’的特點。”工業和信息化智慧法治工信部重點實驗室執行主任趙精武在接受中新網記者采訪時指出，攜程在數據安全管理方面可能并未全面履行《個人信息保護法》《數據安全法》等法律法規明確規定的法定義務，未能對出境數據的安全性、合法性進行全面的風險評估和合規審計。

　　值得一提的是，攜程在個人信息保護領域早有“前科”。2021年，浙江紹興消費者胡女士以攜程采集其個人非必要信息、進行“大數據殺熟”為由訴至法院。法院判決攜程賠償原告訂房差價的三倍支付賠償金，并要求其在App中為原告增加不同意現有“服務協議”和“隱私政策”仍可繼續使用的選項，或修訂相關協議以去除對用戶非必要信息采集和使用的內容。

　　此次再踩“紅線”，則與攜程持續加碼的海外布局有關。

　　近年來，攜程持續加碼海外市場布局。2025年，攜程國際OTA平臺總預訂同比增長約60%，貢獻了40%的總收入，較上年的35%有所上升。

　　業務狂奔之下，國際OTA平臺的商業天性也隨之凸顯——“強個人信息+強跨境協同”的雙重屬性使數據合規成為無法回避的難題：用戶實名、行程、證件、支付與設備信息高度集中，而跨境機票、境外酒店、海外供應商結算、國際客服與風控模型訓練等環節，又常常需要將數據或處理結果傳輸至境外主體、境外云或境外關聯方系統。

　　2017年6月1日起施行的《網絡安全法》首次提出數據出境監管要求，隨后相關法律法規體系逐步完善。監管部門也不斷加大執法力度，嚴厲打擊危害網絡和數據安全、侵害個人信息權益、擾亂經濟社會秩序等各類網絡違法違規行為。

　　例如，2026年1月，上海網信辦發布2025年網絡數據安全執法典型案例，其中兩起涉及未落實數據跨境安全管理要求。一起為某酒店管理企業向網信部門申報數據出境安全評估后，在被告知出境必要性不足的情況下仍未整改，持續違規出境個人信息，被責令限期改正并處以罰款；另一起為某物業管理企業運營的APP在未申報安全評估、未訂立標準合同、未通過個人信息保護認證的情況下，自行向境外提供包含金融賬戶等敏感個人信息的用戶住宿信息，被責令限期改正并予以警告。

　　趙精武認為，目前企業的共性問題在于內部數據安全合規管理機制體系化程度不足，雖然部分業務環節履行了數據安全保護義務，但整體上并未形成涵蓋全數據生命周期且各環節相互銜接的合規流程，倘若未能嚴格履行數據安全義務，無疑會對社會經濟運行產生威脅。

　　對于上海市網信辦近期處理攜程等一批執法案件所通報的“后端處理數據合規能力不足”與“數據出境合規審計不嚴”兩處問題，中國人民大學法學院教授張龑向中新網記者表示，這兩點直指數據生命周期中的關鍵環節。

　　張龑指出，在制度建設方面，可能存在的缺陷包括： 一是數據分類分級與出境識別機制的缺位。安全評估的觸發以準確識別“哪些數據、多少數量、是否敏感、是否重要數據”為前提；若企業沒有建立有效的數據資產盤點和出境清單管理，就無法判斷自身是否觸線，“未落實評估”往往正源于此。二是出境合規審計制度的形式化。《個人信息保護法》第五十四條、五十六條要求個人信息處理者定期開展合規審計與影響評估，通報所稱“審計不嚴”指向這一制度或者未實際運行，或者流于形式、未能識別出境違規。三是“后端處理”環節的合規能力不足，通常意味著數據在采集后的存儲、調用、跨境傳輸等鏈條上缺乏與前端告知—同意相匹配的技術與管理控制，存在前端合規、后端失控的“兩張皮”現象。

　　“執行方面的缺陷則體現為：告知同意的充分性可能存在不足——雖然對‘履行合同必需’的出境場景是否必須取得‘單獨同意’存在解釋空間，但至少出境前的特別告知義務(《個人信息保護法》第三十九條)應當履行，否則用戶無法在知情基礎上作出選擇；出境前的個人信息保護影響評估(第五十五條)可能未做或未留痕；以及對境外接收方的處理活動缺乏持續監督和合同約束。”張龑說。

　　“只要涉及境內個人信息向外傳輸，企業不能抱有僥幸簡化流程。”北京恒都律師事務所合伙人高廣童指出，企業開展數據出境需把握三個層面：先判斷是否觸發安全評估法定情形，未觸發的方可選擇個人信息保護認證或標準合同備案；同時必須落實個人信息保護影響評估和取得個人單獨同意，不得擅自批量傳輸；完成合規程序后還需持續監測數據流轉并采取加密等保護措施，確保境外接收方的數據處理活動符合我國法律規定的保護標準。

來源：中國新聞網