北京某跨国科技企业数据出境三路径全未走+未加密+未单独同意综合案

【案件背景】
2025年，北京公安网安部门在日常网络和数据安全监管中发现，某跨国科技企业（在中国运营的子公司）在向境外母公司或关联方传输中国用户的个人信息时，存在多项严重违反中国数据出境法规的行为。该公司主营业务涉及移动应用分发、广告投放和用户行为分析，累计收集和处理了大量中国用户的设备信息、应用使用行为、IP地址和部分账号信息，并通过其全球数据平台与境外实体共享。

【违法事实】
经公安网安部门调查认定：一是数据出境三路径一条未走——《个人信息保护法》第38条规定了数据出境安全评估、个人信息出境标准合同、个人信息保护认证三条法定路径，该公司一条都未履行即擅自将大量中国用户个人信息传输至境外；二是未向用户告知且未取得单独同意——未按照《个人信息保护法》第39条的要求向用户告知境外接收方信息和处理方式，也未就数据出境事项取得用户的单独同意；三是未采取加密和去标识化等安全保障措施——数据以明文或弱加密形式传输至境外，未按照第51条要求对收集的个人信息采取加密、去标识化等安全技术措施；四是数据出境的事实认定基于技术调查——公安机关通过对网络流量、服务器日志和API数据传输记录的技术分析确定了数据传输的事实。

【处罚决定】
属地公安机关依据《个人信息保护法》第66条，对该公司依法予以行政处罚（警告+罚款），并责令限期改正。要求其在规定期限内完成数据出境合规整改，包括选择并履行适当的出境合规路径、完善告知与单独同意机制、实施加密和去标识化技术措施。

【典型意义】
本案是跨国科技企业在华数据出境'三路径全无'的典型执法案例。一是'三路径全无'构成处罚的天然加重情节——不是企业不知道该走哪条路，而是三条合规路径一条都没走，显示出企业合规态度的严重缺位；二是公安机关的技术调查能力成为执法的有力支撑——通过流量和日志分析锁定数据出境事实，表明监管的精准性和威慑力正在提升；三是对大量在华运营的跨国科技企业有直接警示作用——只要在境内收集和处理中国用户的个人信息，就必须遵守中国的数据出境法规，不能以'全球统一数据架构'为由规避。