某社交媒体平台数亿用户数据在暗网售卖后故意隐瞒且拒绝配合调查案

【案件背景】
2024年2月，安全研究人员在暗网发现一个数据库正在被公开售卖，声称包含某国内头部社交媒体平台数亿用户的个人信息，包括用户ID、手机号、绑定的邮箱、地理位置、发帖内容、私信元数据等。平台最初予以否认，后在大量用户验证自身数据确实在售卖包中后才被迫承认泄露。

【违法事实】
经国家网信办联合公安部调查：一是企业在面对数据泄露指控时采取了'先否认后承认'的恶意隐瞒策略——安全研究人员首次通报时企业公开发布声明称'经核查无数据泄露'，然而内部安全团队早在1月即掌握了泄露证据；二是在监管机构介入调查后不配合——监管部门要求提供相关服务器日志和安全事件记录时，企业以'涉及商业秘密'为由拖延提供，部分日志甚至被'维护性清理'；三是事件响应策略完全以PR（公共关系）为导向而非安全合规为导向——企业安全团队制定的应急处置方案被公关部门否决，理由是'先控制舆论影响再谈技术修复'，导致事件窗口被人为拉长；四是泄露数据在暗网持续扩散——由于企业未及时通知用户、未在平台发出明确的安全提醒，大量用户未修改密码和其他安全设置，导致二次损害持续扩大。

【处罚决定】
国家网信办依据《个人信息保护法》第66条、《网络安全法》第47条，对该平台处以人民币2000万元罚款，责令其在全国性媒体上公开道歉并详细说明事件经过和补救措施，要求暂停新功能上线6个月，集中精力进行数据安全体系重构。对负有直接责任的副总裁和CSO分别处以100万元罚款。

【典型意义】
本案揭示了大型互联网平台在数据安全事件响应中可能犯下的最严重错误。一是'公关优先'策略是对合规底线的根本性背叛——数据安全事件响应的首要目标应是止损和通知受影响个人，而非控制舆论；二是恶意隐瞒和不配合调查属于加重情节——在《个人信息保护法》第66条'情节严重的'处罚框架下，故意隐瞒和不配合调查将触发顶格处罚（5000万元或上年营业额5%）；三是CSO/VP层面的个人重罚传递了明确信号——平台经济时代的安全事件问责不再止于公司层面，高管个人也要承担法定责任；四是事件响应中的公众沟通必须真实、全面、及时——任何试图‘大事化小’的“信息管理”策略最终都会导致更大的信任崩塌和监管反噬。