深圳某云服务商未经用户同意将已删除数据的备份副本无限期保留案

【案件背景】
2024年9月，深圳某云存储服务商在应对一起用户数据泄露投诉中，被意外发现其备份系统中仍然保留着大量用户'已删除'的文件和数据副本。用户在客户端执行删除操作后，后台灾备和冗余系统中仍然完整保留这些数据的多份副本。

【违法事实】
一是违反用户删除权的实质保障义务——《个人信息保护法》第47条赋予用户的删除权是实质性的权利，前端删除操作必须联动触发所有存储层级的数据清除；二是未在隐私政策中告知用户备份保留事实——企业声称'用户删除的数据将在30天内彻底清除'，但实际完全相反；三是云服务多副本架构不能成为规避删除义务的技术借口——云服务商有义务设计确保删除指令在全存储层级生效的技术方案；四是备份系统本身的访问控制和审计日志远不如生产系统严格，形成'影子数据管道'。

【处罚决定】
广东省通信管理局依据《个人信息保护法》《数据安全法》，处以人民币500万元罚款，责令60天内完成对备份系统中'已删除但未真删'数据的彻底清除，重新设计全局生效的删除机制，如实披露数据处理和存储的完整链路。

【典型意义】
本案首次对云服务领域的'影子数据'问题进行了执法定性。一是确立了云环境下删除权的实质性标准——删除必须是数据不可恢复的销毁；二是多副本架构不是规避删除义务的正当理由；三是备份系统往往成为数据安全管理盲区，形成重大安全风险敞口。