某装修服务企业客户数据泄露案

【案件背景】
2025年11月28日，上海市网信办集中通报了一批个人信息保护领域行政执法典型案例，其中某装修服务企业的客户数据泄露案引发了广泛关注。该企业为上海地区知名的互联网家装平台，在为客户提供装修设计、施工监理、软装采购等一站式服务的过程中，大量收集客户的个人身份信息、房产信息和家庭成员信息。然而，企业在数据安全管理方面存在严重漏洞。

【违法事实】
1. 数据安全防护缺失：企业客户信息管理系统存在未及时修补的已知安全漏洞，且数据库未实施必要的加密措施，导致黑客通过SQL注入攻击成功入侵系统，大量客户个人信息（包括姓名、电话、家庭住址、身份证号码、房产面积及户型等）被非法窃取并在暗网出售；
2. 超出必要范围收集信息：企业要求客户上传户口本照片、家庭成员身份证、收入证明等与装修服务无直接关联的敏感个人信息，缺乏合法的处理基础；
3. 数据安全管理体系缺失：企业未建立内部管理制度和操作规程、未对个人信息实行分类管理、未采取加密和去标识化等安全技术措施，也从未进行过个人信息保护影响评估；
4. 数据泄露后处置不当：发现数据泄露事件后，企业未及时通知履行个人信息保护职责的部门和受影响的个人，反而试图自行封堵漏洞而不上报，延误了应急响应时机。

【处罚依据】
《个人信息保护法》第六条（最小必要原则）、第五十一条（安全保护义务）、第五十六条（个人信息保护影响评估）、第五十七条（数据泄露通知义务）。

【处罚决定】
上海市网信办依法对该企业作出警告、罚款、责令限期改正的行政处罚，要求企业建立完善的数据安全管理制度、对受影响客户逐一通知并提供补救措施。

【典型意义】
该案揭示了传统行业数字化转型中面临的典型数据合规挑战——企业为了商业目的过度收集客户信息，却未能同步建立相应的安全保障体系。数据收集的广度与数据保护的能力必须匹配，收集越多、责任越大。