北京某电商平台大规模用户数据泄露后超72小时未通知监管部门及用户案

【案件背景】
2023年5月，北京某知名电商平台发生大规模用户数据泄露事件，涉及超过3000万用户的个人信息，包括姓名、手机号、收货地址、购物记录、部分支付信息等。该平台在发现数据泄露后，未按照《个人信息保护法》第57条的要求在事件发生后立即采取补救措施，也未在规定时限内通知履行个人信息保护职责的部门和个人。

【违法事实】
经国家网信办会同公安部门调查认定：一是未及时通知监管部门——企业于2023年5月12日已发现数据泄露漏洞并确认数据外泄，但直至5月18日才向北京市网信办报告，延迟超过120小时，严重违反了《个人信息保护法》第57条'个人信息处理者发现个人信息泄露的，应当立即采取补救措施，并通知履行个人信息保护职责的部门和个人'的规定；二是未及时通知受影响的个人——企业仅在5月20日通过App内推送了一条模糊的'安全提醒'，未逐一向用户告知泄露事件的具体情况、可能产生的危害以及用户可采取的补救措施，导致大量用户对自身信息已被泄露一事毫不知情；三是应急响应机制形同虚设——企业虽制定了书面的数据安全事件应急预案，但实际执行严重滞后，安全团队从发现告警到启动应急预案耗时超过48小时。

【处罚决定】
国家网信办依据《个人信息保护法》第66条，对该电商平台处以人民币800万元罚款，对直接负责的主管人员处以20万元罚款，并责令暂停相关业务进行整改。同时要求企业全面重构数据安全应急响应体系，建立自动化监测告警与事件响应联动机制，并将整改结果报送网信部门验收。

【典型意义】
本案是国内数据安全事件响应领域最具代表性的执法案例之一。一是明确了《个人信息保护法》第57条'立即'通知的执法尺度——监管部门并未要求'即时'或给出固定时限，但本案中超过120小时的延迟被认定为'未立即'，警示企业发现泄露后应在数小时内而非数天内完成通知；二是强调了对个人通知的实质性要求——企业不能以模糊的系统通知替代对受影响个人的逐案告知，通知内容必须包含事件情况、可能危害和补救措施三大要素；三是突显了'纸面预案'与实际响应能力的巨大鸿沟——企业必须确保应急预案不仅是合规文档，更是能够被真正激活和执行的作战手册。