某跨国快消品牌委托第三方客服外包商处理消费者个人信息未进行安全评估且发生数据泄露案（上海市网信办，2024年3月）

【案件背景】
某跨国快消品牌（以下简称“涉案品牌”）是全球知名的日化产品制造商，在华业务覆盖线上线下全渠道零售。为降低运营成本，涉案品牌自2020年起将全国客服业务委托给一家第三方客服外包商（以下简称“客服外包商”）处理，涉及消费者姓名、手机号码、地址、购买记录、投诉记录等大量个人信息。2023年11月，客服外包商的IT系统遭勒索软件攻击，导致约120万条消费者个人信息被加密并被攻击者窃取，其中部分数据在暗网出售。上海市网信办接消费者举报后立案调查。

【违法事实】
经调查查明：
（1）涉案品牌在将客服业务委托给客服外包商处理之前，从未对客服外包商的数据安全能力进行任何形式的评估。调查发现，客服外包商的IT系统存在严重安全漏洞：使用的服务器操作系统为已停止安全更新的Windows Server 2012；员工使用弱口令（如“password123”、“admin”等）登录消费者数据系统；未对消费者数据库实施访问控制，任何接入客服外包商内网的员工均可查看全部消费者的完整个人信息。
（2）涉案品牌与客服外包商之间签订了《客服外包服务合同》，但合同中关于个人信息保护的内容仅有3条简单条款，未对委托处理的目的、期限、处理方式、个人信息的种类、保护措施以及双方的权利和义务作出明确约定，不符合《个人信息保护法》第二十一条关于委托处理合同的要求。
（3）涉案品牌未对客服外包商的数据处理活动进行定期审计。客服外包商在实际运营中，将部分客服质检业务再转委托给其关联的一家数据标注公司，该转委托行为从未获涉案品牌同意，涉案品牌对此完全不知情。
（4）客服外包商在数据处理过程中，将处理完成的消费者数据长期保留在其系统中（最长达3年），远超合同约定服务完成后的保存期限，但涉案品牌从未要求其返还或删除数据。
（5）数据泄露事件发生后，客服外包商拖延了7天才通知涉案品牌，涉案品牌又拖延了5天才向监管部门报告，最终在事件发生12天后才通知消费者，严重违反了《个人信息保护法》第五十七条关于数据安全事件通知时限的要求。

【处罚决定】
上海市互联网信息办公室依据《个人信息保护法》第六十六条，对涉案品牌作出以下行政处罚：
（一）责令改正违法行为，暂停所有委托处理业务直至完成合规整改；
（二）警告；
（三）处人民币60万元罚款；
（四）对直接负责的IT总监处人民币5万元罚款。
同时，上海市网信办对客服外包商另案处理，依据《个人信息保护法》第六十六条处人民币40万元罚款。上海市通信管理局依据《网络安全法》对客服外包商处人民币10万元罚款。

【典型意义】
本案是《个人信息保护法》第二十一条委托处理条款适用的标志性执法案例。其典型意义在于：
第一，本案确立了委托方（涉案品牌）对受托方（客服外包商）数据安全事件承担“连带监管责任”的执法立场——即使数据泄露发生在受托方系统中，委托方因未履行事前评估和事中审计义务，同样需承担主要行政处罚责任。
第二，本案揭示了实践中大量企业存在的“签完合同就万事大吉”的认知误区。委托处理的法律义务远不止签一份合同，而是一项贯穿数据处理全生命周期的持续合规义务，包括事前评估、合同约定、事中审计、事后删除等环节。
第三，本案中涉案品牌因未及时通报数据安全事件而加重了处罚，体现了“事件响应时间”作为执法考量因素的重要性。
第四，本案警示跨国企业：在中国境内的委托处理须完全遵守《个人信息保护法》的规定，不能以“母公司全球统一外包政策”为由降低合规标准。