某政务云服务平台惠民系统数据泄露后跨部门协调机制失灵延误通知案

【案件背景】
2024年7月，某省会城市政务云服务平台上运行的惠民补贴申领系统因API接口未做鉴权，导致约200万条市民个人信息被公开访问，内容涉及姓名、身份证号、家庭住址、家庭收入、低保/残疾认定信息、银行账号等极其敏感的政务数据。该事件在技术层面本可快速修复，却因跨部门应急协调机制失灵而严重延误通知。

【违法事实】
经省级网信办和纪检监察部门联合调查：一是技术漏洞本可避免——该API接口在上线时即存在未鉴权的设计缺陷，安全测试报告中已明确指出，但系统承建方以'后期整改'为由未在上线前修复；二是事件发现和确认后跨部门协调失能——大数据管理局于7月12日即确认数据可被公开访问，但通知市民需要民政局、人社局、残联等多个数据来源部门会商决定，跨部门会议因'一把手不在''需要上级审批'等原因一再推迟，从确认到最终发布公共通知耗时20天；三是通知内容避重就轻——最终对外发布的通知仅模糊表述'系统维护期间可能发生短暂数据异常'，未如实告知公众数据泄露的类型、范围和可能危害，未给出任何补救建议；四是涉事系统的安全事件应急预案为一纸空文——预案规定'发生重大数据安全事件应在2小时内逐级上报至分管副市长'，但实际执行中无人知晓该上报流程。

【处罚决定】
省纪委监委对负有领导责任的大数据管理局局长、分管副局长给予政务警告处分，省网信办依据《数据安全法》《个人信息保护法》对系统承建方处以人民币300万元罚款，并将其列入政府采购黑名单3年。市政府被要求建立跨部门数据安全应急联动机制并每季度开展实战演练。

【典型意义】
本案凸显了政务数据安全事件响应中特有的'跨部门协调困境'。一是政务数据涉及多部门共享，事件响应不能'九龙治水'——必须建立统一的应急指挥体系和明确的事件响应牵头部门；二是对公众的告知义务不因涉事主体是政府部门而有任何降低——政务数据的泄露同样必须遵守《个人信息保护法》第57条的通知义务；三是政务系统承包商的数据安全责任不可推卸——系统承建方已知漏洞不修，最终导致泄露，应当承担主要法律责任；四是本案推动了各地建立政务数据安全事件跨部门应急联动机制的制度化进程。