携程被罚1000万元, 数据出境合规再敲警钟

据“网信上海”微信公众号通报, 2026年6月13日, 在国家网信办指导下, 上海市网信办依法对上海携程商务有限公司作出罚款1000万元的行政处罚, 直指其未落实数据出境安全评估要求、违法向境外提供个人信息等多项违规行为。通报显示, 携程在未通过国家数据出境安全评估程序的情况下, 即将大量用户个人信息传输至境外, 违反了《个人信息保护法》关于个人信息出境的法定合规要求。依据该法, 上海市网信办对携程予以1000万元罚款, 并责令限期完成全面整改。企业在收到行政处罚决定书后, 已第一时间积极配合监管部门, 正全面推进各项整改措施的落地实施。
此次处罚是上海市网信办近期办理的一批执法案件之一, 被查处的企业普遍涉及:
(1)网络数据安全主体责任履行不到位;
(2)安全管理防护措施缺失;
(3)后端处理数据合规能力不足;
(4)数据出境合规审计不严等。
通报明确指出, 今年以来, 通过执法办案发现, 部分民生领域互联网企业仍然存在违法违规出境个人信息的行为。所谓“民生领域”, 涵盖出行、医疗、生活服务等老百姓日常使用的业务场景, 这类企业因掌握大量用户个人信息, 将成为后续监管的重点关注对象。
值得注意的是, 上海市网信办并非仅以处罚为导向, 在执法之前已开展了大量普法工作, 包括接听1.2万多个咨询电话、举办77场政策宣讲会、编发实务问答手册等, 即为企业指明了合规路径。这意味着在法律法规早已明确、政策宣讲也做了充分铺垫的情况下, 企业若仍踩踏红线, 将面临实质性的执法后果。
从合规角度, 这一事件为所有涉及个人信息处理的企业敲响了警钟。数据出境并非不可为, 但必须依法通过安全评估、订立标准合同或通过个人信息保护认证等方式完成合规程序。企业应尽快对照《个人信息保护法》《数据出境安全评估办法》《个人信息出境标准合同本办法》《促进和规范数据跨境流动规定》等要求, 结合个人信息保护合规审计等手段, 系统排查自身数据出境场景, 评估是否存在安全评估未完成、合同未签署或认证未获取即向境外传输个人信息的情形。企业尤其需要关注以下场景:
(1)无法落入豁免的敏感个人信息出境;
(2)供应商、客户联系人的个人信息出境;
(3)与用工管理无关的员工个人信息出境。
对于尚未启动数据出境合规建设的企业, 建议立即组建合规工作组或聘请专业机构协助, 梳理数据资产、识别出境场景、完成安全评估申报或标准合同备案, 以免在后续执法检查中因程序缺位而面临类似的法律风险和经济损失。