成都某科技公司为工作便利私自上传30万条运营数据至互联网且未开展风险监测案

【案件背景】
2024年，江苏苏州公安网安部门在工作中发现，成都某科技有限公司在为苏州某信息科技股份有限公司提供系统运维服务过程中，存在严重的数据安全管理违规行为。该公司作为技术服务商，掌握了苏州这家公司约30余万条运营数据，包括客户信息、交易记录、服务日志等。

【违法事实】
经公安机关调查认定，该公司存在以下违法行为：一是未建立健全全流程数据安全管理制度——作为数据处理者，未按照《数据安全法》第27条的要求建立覆盖数据全生命周期的安全管理制度；二是为图工作便利私自将数据上传至互联网——运维工程师为远程操作方便，将含有30余万条运营数据的数据库备份上传至互联网上的公共文件服务器，且未设置任何访问控制措施和技术防护手段；三是未对其数据处理活动开展风险监测——企业从未对数据的存储位置、访问情况和传输路径进行风险监测，违反了《数据安全法》第29条的要求，导致数据长期暴露于被任意访问的极度危险状态。

【处罚决定】
苏州公安机关依据《数据安全法》第45条规定，对该公司予以行政警告并处罚款5万元。同时要求其立即从互联网上删除所有暴露的数据，建立完善的数据安全管理制度和风险监测机制，并加强员工数据安全培训。

【典型意义】
本案揭示了科技服务企业在数据处理中的三重风险：一是'便利优先'对数据安全的侵蚀——运维人员为图方便将数据上传至公开环境，暴露了企业数据安全文化和风险意识的严重缺失；二是外包服务中的数据处理风险——委托方将数据交给技术服务商处理，但技术服务商的数据处理行为完全脱离了风险评估和监督；三是风险监测的制度价值——本案中如果有常态化的风险监测机制，数据被上传至公网的行为应该在数小时内被发现和阻断，而非长期暴露在无人知晓的状态。