数据泄漏后擅自删库，某科技公司被依法处罚

导读
近日，上海网信办依据《数据安全法》，针对某科技公司在数据泄漏被传输境外后擅自删库行为，对该公司及公司直接责任人员予以行政处罚。
案件背景：
某科技公司主要为保险类企业提供互联网通信服务。2022年10月，公司安装配置了一台Elasticsearch数据库服务器，用于搜集多个应用系统的业务日志，并存储了包含用户姓名、身份证号码、手机号在内的大量个人信息。该公司未建立健全全流程数据安全管理制度，未采取相应的技术措施和其他必要措施保障数据安全，因数据库存在未授权访问漏洞，造成部分数据泄漏被传输到境外IP。
上海市网信办在工作中发现该情况后，将相关情况通报涉事企业并要求立即核查整改，但该科技公司无视数据安全保护责任，未按照规定及时向网信部门报告，未进行及时有效整改且擅自将涉事数据库一删了之，意图逃避处罚。针对以上违法情况，上海市网信办依据《数据安全法》第二十七条、第四十五条，对该科技公司作出责令改正，给予警告，并处人民币8万元罚款的行政处罚；对公司直接责任人员作出罚款人民币1万元的行政处罚。
案件快评：
一般情况下，数据处理者的数据安全、个人信息保护相关合规体系的搭建与落地具有一定内部性，但机制缺位或机制实施不到位，可能增加发生数据安全事件的风险，进而可能在发生具有外部性影响的事件后被监管机构追责或遭遇个人信息主体投诉、诉讼，并可能进一步对企业的商业声誉产生影响。此外，企业是否搭建并实施相关合规管理体系，亦是监管部门开展执法时认定涉案企业是否存在过错的重要考虑因素。
不过，考虑到搭建完善机制的复杂性与长期性，数据处理者可在搭建基本管控制度（如分类分级访问权限控制制度）的基础上，优先就敏感程度较高的信息系统（如存储有个人信息、重要数据的信息系统，政务系统等）及直接面向C端用户提供的产品/服务搭建、落实数据安全保障机制。
此外，值得关注的是，受托处理不意味着外部数据安全责任的免除。本案例中，该科技公司系为保险类企业提供互联网通信服务，从而存储相关用户数据；但其亦是相关数据库的运营者，应履行数据传输、数据库运营层面基本的网络安全与数据安全保障义务；同时，根据《个人信息保护法》第21、59条，如受托处理者未按约定处理个人信息的，也应被纳入行政处罚对象的范围。近期已有多个案例中披露与受托处理者相关的行政处罚，如“网信上海”官方公众号于今年9月中旬披露，某政府信息系统技术承包商违规将政务数据置于互联网进行测试期间，相关存储端存在高危漏洞，导致大量公民数据泄露，而受到上海网信办的行政处罚。
相关法条：
《数据安全法》第二十七条
开展数据处理活动应当依照法律、法规的规定，建立健全全流程数据安全管理制度，组织开展数据安全教育培训，采取相应的技术措施和其他必要措施，保障数据安全。利用互联网等信息网络开展数据处理活动，应当在网络安全等级保护制度的基础上，履行上述数据安全保护义务。
重要数据的处理者应当明确数据安全负责人和管理机构，落实数据安全保护责任。
《数据安全法》第四十五条
开展数据处理活动的组织、个人不履行本法第二十七条、第二十九条、第三十条规定的数据安全保护义务的，由有关主管部门责令改正，给予警告，可以并处五万元以上五十万元以下罚款，对直接负责的主管人员和其他直接责任人员可以处一万元以上十万元以下罚款；拒不改正或者造成大量数据泄露等严重后果的，处五十万元以上二百万元以下罚款，并可以责令暂停相关业务、停业整顿、吊销相关业务许可证或者吊销营业执照，对直接负责的主管人员和其他直接责任人员处五万元以上二十万元以下罚款。
违反国家核心数据管理制度，危害国家主权、安全和发展利益的，由有关主管部门处二百万元以上一千万元以下罚款，并根据情况责令暂停相关业务、停业整顿、吊销相关业务许可证或者吊销营业执照；构成犯罪的，依法追究刑事责任。