专家详解携程千万罚单背后：数据出境的合规漏洞出在哪？

　　携程被处罚！这次是数据出境踩了“红线”。

　　据上海市网信办6月13日的通报：针对上海携程商务有限公司未落实数据出境安全评估要求、违法出境个人信息等行为，依据《个人信息保护法》，予以罚款1000万元的行政处罚，并责令企业限期改正。

　　对于违法行为是否已造成用户数据泄露、出境数据是否存在被滥用风险、具体整改措施等问题，中新网记者向携程方面求证，截至发稿时未获回应。

　　“从公开信息来看，此次携程被罚存在‘未落实数据出境安全评估要求、违法出境个人信息’这一违法行为，并且存在‘情节严重’的特点。”工业和信息化智慧法治工信部重点实验室执行主任赵精武在接受中新网记者采访时指出，携程在数据安全管理方面可能并未全面履行《个人信息保护法》《数据安全法》等法律法规明确规定的法定义务，未能对出境数据的安全性、合法性进行全面的风险评估和合规审计。

　　值得一提的是，携程在个人信息保护领域早有“前科”。2021年，浙江绍兴消费者胡女士以携程采集其个人非必要信息、进行“大数据杀熟”为由诉至法院。法院判决携程赔偿原告订房差价的三倍支付赔偿金，并要求其在App中为原告增加不同意现有“服务协议”和“隐私政策”仍可继续使用的选项，或修订相关协议以去除对用户非必要信息采集和使用的内容。

　　此次再踩“红线”，则与携程持续加码的海外布局有关。

　　近年来，携程持续加码海外市场布局。2025年，携程国际OTA平台总预订同比增长约60%，贡献了40%的总收入，较上年的35%有所上升。

　　业务狂奔之下，国际OTA平台的商业天性也随之凸显——“强个人信息+强跨境协同”的双重属性使数据合规成为无法回避的难题：用户实名、行程、证件、支付与设备信息高度集中，而跨境机票、境外酒店、海外供应商结算、国际客服与风控模型训练等环节，又常常需要将数据或处理结果传输至境外主体、境外云或境外关联方系统。

　　2017年6月1日起施行的《网络安全法》首次提出数据出境监管要求，随后相关法律法规体系逐步完善。监管部门也不断加大执法力度，严厉打击危害网络和数据安全、侵害个人信息权益、扰乱经济社会秩序等各类网络违法违规行为。

　　例如，2026年1月，上海网信办发布2025年网络数据安全执法典型案例，其中两起涉及未落实数据跨境安全管理要求。一起为某酒店管理企业向网信部门申报数据出境安全评估后，在被告知出境必要性不足的情况下仍未整改，持续违规出境个人信息，被责令限期改正并处以罚款；另一起为某物业管理企业运营的APP在未申报安全评估、未订立标准合同、未通过个人信息保护认证的情况下，自行向境外提供包含金融账户等敏感个人信息的用户住宿信息，被责令限期改正并予以警告。

　　赵精武认为，目前企业的共性问题在于内部数据安全合规管理机制体系化程度不足，虽然部分业务环节履行了数据安全保护义务，但整体上并未形成涵盖全数据生命周期且各环节相互衔接的合规流程，倘若未能严格履行数据安全义务，无疑会对社会经济运行产生威胁。

　　对于上海市网信办近期处理携程等一批执法案件所通报的“后端处理数据合规能力不足”与“数据出境合规审计不严”两处问题，中国人民大学法学院教授张龑向中新网记者表示，这两点直指数据生命周期中的关键环节。

　　张龑指出，在制度建设方面，可能存在的缺陷包括： 一是数据分类分级与出境识别机制的缺位。安全评估的触发以准确识别“哪些数据、多少数量、是否敏感、是否重要数据”为前提；若企业没有建立有效的数据资产盘点和出境清单管理，就无法判断自身是否触线，“未落实评估”往往正源于此。二是出境合规审计制度的形式化。《个人信息保护法》第五十四条、五十六条要求个人信息处理者定期开展合规审计与影响评估，通报所称“审计不严”指向这一制度或者未实际运行，或者流于形式、未能识别出境违规。三是“后端处理”环节的合规能力不足，通常意味着数据在采集后的存储、调用、跨境传输等链条上缺乏与前端告知—同意相匹配的技术与管理控制，存在前端合规、后端失控的“两张皮”现象。

　　“执行方面的缺陷则体现为：告知同意的充分性可能存在不足——虽然对‘履行合同必需’的出境场景是否必须取得‘单独同意’存在解释空间，但至少出境前的特别告知义务(《个人信息保护法》第三十九条)应当履行，否则用户无法在知情基础上作出选择；出境前的个人信息保护影响评估(第五十五条)可能未做或未留痕；以及对境外接收方的处理活动缺乏持续监督和合同约束。”张龑说。

　　“只要涉及境内个人信息向外传输，企业不能抱有侥幸简化流程。”北京恒都律师事务所合伙人高广童指出，企业开展数据出境需把握三个层面：先判断是否触发安全评估法定情形，未触发的方可选择个人信息保护认证或标准合同备案；同时必须落实个人信息保护影响评估和取得个人单独同意，不得擅自批量传输；完成合规程序后还需持续监测数据流转并采取加密等保护措施，确保境外接收方的数据处理活动符合我国法律规定的保护标准。

来源：中国新闻网