深圳某金融科技公司客户信贷数据泄露后应急处置预案严重缺失案

【案件背景】
2024年8月，深圳某金融科技公司因其业务系统存在SQL注入漏洞被黑客利用，导致约80万条客户信贷申请数据泄露，内容涵盖申请人姓名、身份证号码、银行卡号、工作单位、收入水平、征信授权书等高度敏感信息。监管机构在执法检查中发现该公司根本没有建立有效的数据安全事件应急预案。

【违法事实】
经深圳市网信办和国家金融监督管理总局深圳监管局联合调查：一是应急预案完全缺失——该公司作为处理海量个人金融信息的数据处理者，未按照《个人信息保护法》第51条建立数据安全事件应急预案，也未按照《数据安全法》第29条建立数据安全应急处置机制，属于严重的制度性缺失；二是漏洞修复严重拖延——安全团队早在2024年6月即通过第三方渗透测试报告获知SQL注入漏洞的存在，但管理层以'业务优先'为由将修复排期推迟至9月，其间漏洞被黑客利用造成泄露；三是未通知数据主体——泄露发生后企业选择了'内部消化'而非依法通知受影响的客户，理由是'担心影响公司声誉和融资计划'，严重侵害了数据主体的知情权和采取补救措施的权利；四是缺乏数据备份和恢复能力——事件发生后企业无法准确确认泄露数据的完整范围和内容，原因是数据库变更日志仅保留7天。

【处罚决定】
国家金融监督管理总局深圳监管局联合深圳市网信办，依据《数据安全法》第45条、《个人信息保护法》第66条、《网络安全法》第59条，对该公司处以人民币500万元罚款，责令暂停新增信贷业务3个月进行整改，要求建立完善的数据安全事件应急预案和定期演练制度。

【典型意义】
本案对金融科技行业具有重大警示意义。一是'无预案即违法'——数据安全应急预案不是'最好有'而是'必须有'，其缺失本身就构成独立的违法行为；二是揭示了'已知漏洞未修复'情形下发生泄露事件的加重处罚逻辑——预知风险却怠于处置，主观过错程度更高，处罚更重；三是'业务优先'不能成为安全拖延的借口——本案警示企业管理层必须将安全投入纳入业务的刚性成本而非弹性预算；四是日志留存是应急响应的基础——没有充分的日志记录就无法准确定损、无法有效溯源、无法合规报告。