某保险公司将千万级保单客户数据存储于新加坡数据中心未完成安全评估案

【案件背景】
2024年10月，国家金融监督管理总局和国家网信办联合开展金融数据跨境流动专项检查，发现某外资保险公司在华运营期间，将中国境内保单客户的个人信息和保险理赔数据集中存储于其位于新加坡的亚太区域数据中心，涉及约1500万份保单的客户数据。

【违法事实】
一是违反金融数据本地化存储的特别规定——根据《金融数据安全 数据安全分级指南》和《个人金融信息保护技术规范》，个人金融信息原则上应在境内存储和处理；二是混淆了'集团内部IT资源调配'与'数据出境'的法律概念——数据存储物理位置跨越国境即构成出境，与数据的集团内部归属无关；三是保险数据包含极度敏感的信息——保单数据通常包含姓名、身份证号、家庭地址、健康状况、财产信息、收入水平等全面个人画像；四是未对境外数据中心的安全水平进行合规论证。

【处罚决定】
国家金融监督管理总局依据《数据安全法》《个人信息保护法》及金融行业数据安全管理规定，处以人民币800万元罚款，责令将全部中国客户数据从新加坡数据中心迁移回中国境内，在完成数据迁移并通过安全审查之前暂停办理新保单业务。

【典型意义】
一是重申了'存储物理位置跨越国境即构成数据出境'的明确立场——集团内部共享IT基础设施的便利性不能凌驾于数据出境法律之上；二是金融数据是最严格的数据本地化存储类型；三是外资企业在中国的数据存储合规面临结构性矛盾，必须在合规与效率间找到平衡点；四是暂停新业务的处罚措施显示了'合规前置'的监管思路。