吉林某医药公司数据安全'四大皆空'——无制度、无培训、无技术、无防护导致严重数据泄露风险案

【案件背景】
2025年12月，吉林长春公安网安部门在开展网络安全监督检查时发现，吉林某医药公司在经营过程中存储了大量公民个人信息，包括患者姓名、身份证号、联系方式、病历摘要和购药记录等涉及个人健康隐私的敏感数据，但其数据安全管理状况令人震惊。

【违法事实】
经公安机关调查，该公司在数据安全方面存在'四大皆空'的严重问题：一是'无制度'——未按照《数据安全法》第二十一条和第二十七条的要求建立全流程数据安全管理制度，也未对持有的数据进行分类分级；二是'无培训'——从未组织员工开展数据安全教育培训，员工对数据保护义务毫无认知；三是'无技术'——未采取任何技术措施和其他必要措施保障数据安全，未部署防火墙、入侵检测、数据加密等基础安全防护；四是'无防护'——存储大量个人隐私数据的服务器直接暴露在公共互联网上，未设置任何访问控制和网络隔离。这种'裸奔'状态使海量个人健康数据面临被窃取、篡改、滥用的重大风险。

【处罚决定】
吉林长春公安机关依据《数据安全法》第二十七条（数据安全保护义务）、第四十五条之规定，依法追究该公司的法律责任并责令其限期改正。具体处罚措施包括责令改正、给予警告、并处罚款，同时要求该公司在90天内建立完整的数据分类分级制度和安全管理体系。

【典型意义】
本案是《数据安全法》执法实践的标志性案例，以'四大皆空'的生动概括揭示了部分传统行业企业对数据安全保护的严重忽视。一是医药行业涉及大量个人健康信息——属于《个人信息保护法》定义的敏感个人信息，一旦泄露可能对患者造成难以弥补的损害，企业应当给予最高级别的保护。二是数据分类分级制度是整个数据安全体系的'地基'——只有先搞清楚自己有什么数据、什么级别的数据，才能有针对性地配置安全资源。三是公安机关已明确将数据安全执法纳入'护网'专项行动，传统行业不再是执法盲区。本案警示所有数据处理者：数据安全不是'省钱省事'的选择题，而是不可推卸的法定义务。