携程未落实数据出境安全评估要求且违法出境个人信息被罚1000万元案

【案件背景】
2026年6月，上海市网信办通报对上海携程商务有限公司处以1000万元罚款的行政处罚，原因是该公司未落实数据出境安全评估要求、违法出境个人信息。携程作为中国最大的在线旅游服务平台，近年来持续加码海外市场布局，其国际OTA平台2025年总预订同比增长约60%，贡献了40%的总收入。业务高速扩展之下，用户实名信息、行程轨迹、证件信息、支付数据等大量个人信息在跨境机票、境外酒店、海外供应商结算、国际客服、风控模型训练等环节被传输至境外主体、境外云服务或境外关联方系统。

【违法事实】
经网信部门调查认定：一是违反数据出境安全评估义务——《个人信息保护法》第38条明确规定，向境外提供个人信息应当通过安全评估、标准合同或保护认证三条路径之一，携程作为处理海量用户个人信息的大型平台，涉及个人信息出境规模远超安全评估门槛，但未全面、及时地完成数据出境安全评估；二是跨境业务的合规管理呈现'后端失控'——企业内部虽在前端采集环节建立了一定合规流程，但在出境数据的分类分级、出境必要性分析、境外接收方持续监管等后端环节存在系统性管理缺陷，形成'前端合规、后端失控'的两张皮现象；三是数据出境合规审计制度形式化——《个人信息保护法》要求个人信息处理者定期开展合规审计与影响评估，但携程的相关审计未能有效识别和纠正出境违规行为。

【处罚决定】
上海市网信办依据《个人信息保护法》第66条，对携程处以罚款1000万元人民币的行政处罚，并责令企业限期改正。这是针对互联网平台数据出境违规的最高额罚款之一。

【典型意义】
本案是大规模互联网平台数据出境合规定价的关键案例。一是千万级罚款标志着数据出境执法的全面升级——从早期的警告、责令改正到实质性高额罚款，监管力度正在全面加强；二是暴露了'业务国际化≠合规定性化'的根本矛盾——携程海外业务的高速增长与其数据出境合规的滞后形成鲜明对比，警示所有国际化企业必须将合规体系建设与业务扩张同步推进；三是'后端失控'成为处罚新焦点——监管从关注前端告知同意的形式合规，深入至后端数据处理架构和全链条风险管理的实质合规审查。