上海某国际酒店管理企业数据出境安全评估被否后无视评估结果仍违规出境案

【案件背景】
2026年1月，上海市网信办发布2025年网络数据安全执法典型案例，其中某国际酒店管理企业因数据出境违规被查处。该企业主营业务为国际酒店管理，为中国及全球客户提供酒店住宿、度假、餐饮等国际旅行服务，在线预订场景中涉及大量中国境内自然人的个人信息出境。企业已主动向国家网信部门申报数据出境安全评估，但在收到评估结论后仍继续违规出境个人信息。这一行为揭示了'申报不等于合规'的核心合规教训。

【违法事实】
经网信部门调查认定：一是安全评估被否后仍违规出境——该企业虽向网信部门申报了数据出境安全评估，但在收到国家网信部门《评估结果通知书》明确相关个人信息数据项出境必要性不足后，未能采取切实有效的整改措施停止或调整数据处理方式，仍将境内自然人个人信息违法违规传输至境外总部及关联系统；二是数据出境必要性的判断失败——安全评估要求的核心之一是数据出境的'必要性'审查，即企业需要证明其出境数据对于完成服务目的而言是必不可少的，但该企业未能证明在境内即可解决数据需求的前提下仍需将数据出境；三是未能区分不同数据类型的出境必要性——酒店的预订信息（如姓名、联系方式、入住时间）与更为敏感的数据（如支付信息、消费偏好、行程轨迹）在出境必要性上存在明显差别，企业的安全评估申报未能有效区分和论证不同数据类别的必要性。

【处罚决定】
上海市网信办依据《个人信息保护法》和《网络数据安全管理条例》的相关规定，对该企业作出责令限期改正并处以罚款的行政处罚（具体罚款金额未公开披露）。要求企业立即停止违规出境行为，按照安全评估结果重新调整数据传输架构。

【典型意义】
本案是数据出境安全评估制度实施中最具警示价值的案例之一。一是揭示'申报≠合规'的关键教训——主动申报安全评估本身虽体现合规意识，但无视评估结论的行为构成更严重的合规失信，企业不能在评估被否后'装作不知道'；二是出境必要性是安全评估的核心审查重点——这是中国企业首次因'必要性不足'被处罚的公开案例，表明监管机构对企业数据本地化处理能力的要求正在实质化；三是为所有已申报安全评估的企业发出预警——收到评估结论后必须立即逐项整改，'边申报边违规'不是合规策略，而是合规陷阱。