广东某跨境电商App未向用户告知数据出境事项且未取得单独同意被通报整改案

【案件背景】
2025年，国家计算机病毒应急处理中心在App违法违规收集使用个人信息专项检测中，发现广东省某跨境电商平台运营的App存在严重的数据出境合规问题。该App面向中国海淘消费者提供跨境商品购买服务，用户下单时需提供姓名、身份证号（用于海关清关）、地址、电话号码等个人信息，相关信息会被传输至境外的商品供应商、物流服务商和支付处理机构。跨境业务场景本身需要一定范围的数据出境，但该App在前端告知和用户同意环节存在明显违规。

【违法事实】
经检测认定：一是未向用户告知数据出境事项——《个人信息保护法》第39条明确要求，个人信息处理者向境外提供个人信息时应当向个人告知境外接收方的名称、联系方式、处理目的、处理方式、个人信息种类以及个人行使权利的方式和程序等事项，但该App的隐私政策中未以显著方式向用户说明数据将被传输至境外处理；二是未取得用户的单独同意——该App将数据出境授权隐藏在通用的'用户协议一揽子同意'中，未就数据出境事项单独弹窗提示并获取用户明示同意；三是数据出境的必要性告知不足——用户无法从隐私政策中清晰了解哪些信息因业务必需而出境、哪些信息仅因商业便利而出境。

【处罚决定】
国家计算机病毒应急处理中心对该App予以通报，要求其限期整改并在整改期间暂停数据出境活动。属地网信部门对该企业进行约谈，要求其完善隐私政策、建立数据出境告知和单独同意机制。

【典型意义】
本案聚焦于跨境数据场景中最基本但最常被忽视的两项合规义务——告知和单独同意。一是'业务必需'不等于'合规豁免'——跨境电商的物流清关等环节确实需要数据出境，但'存在出境的业务正当性'不豁免'履行告知和单独同意义务'；二是跨境业务企业在隐私政策设计上必须区分境内和境外数据接收方——'一揽子同意'模式在跨境场景下受到更严格的审查；三是对中小跨境电商企业有直接参考价值——告知和单独同意是低成本高收益的合规措施，却被多数跨境企业忽视。