某省级政务服务平台将公民数据委托科技公司处理但疏于监督导致数据被用于商业营销案（广东省网信办，2024年6月）

【案件背景】
某省级政务服务平台（以下简称“涉案平台”）是该省“数字政府”建设的重点项目，集成了社保查询、公积金提取、不动产登记、驾照办理等300余项政务服务，注册用户超过4000万。为打造平台的“智能推荐”功能，涉案平台将部分公民数据委托给某科技公司（以下简称“受托公司”）进行算法模型训练。2024年3月，有用户向纪检监察部门举报，称在注册涉案平台后，收到大量精准的保险推销电话和保健品广告，怀疑其政务数据被泄露给商业机构。广东省网信办会同省纪委监委联合调查。

【违法事实】
经调查查明：
（1）涉案平台与受托公司于2022年7月签订《智能推荐系统开发合同》，将平台用户的姓名、身份证号、手机号、社保缴纳记录、公积金余额、不动产信息等高度敏感的个人信息提供给受托公司，用于训练“个性化政务服务推荐模型”。该委托处理行为涉及约1500万公民的上述数据。
（2）涉案平台在委托前仅进行了形式上的“安全评估”——受托公司提交了一份2页的自评报告，涉案平台即予以通过，未进行实质性的现场核查或技术测试。调查发现，受托公司实际上是一家仅有15名员工的初创科技公司，根本不具备处理海量政务数据的安全能力；其办公场所无门禁系统，员工使用个人笔记本电脑处理政务数据，未对敏感数据进行脱敏处理。
（3）涉案平台与受托公司签订的合同中，未明确约定受托公司处理数据的目的和方式限于“模型训练”，未禁止受托公司将数据用于其他目的，未要求受托公司对数据实施严格的访问控制和审计日志。调查发现，受托公司的一名数据分析师将去标识化后的部分数据（含用户年龄、社保区间、公积金余额区间）以每条0.5元的价格出售给一家保健品营销公司，后者据此向涉案平台用户定向推送保健品广告。
（4）受托公司在2023年5月还将部分模型训练工作转包给了一家位于境外的AI公司，将中国公民的脱敏数据上传至境外云服务器。该转委托行为从未获得涉案平台同意，涉案平台完全不知情。该行为涉嫌违法向境外提供个人信息。
（5）涉案平台自委托处理以来，未对受托公司进行过任何形式的审计或检查，仅通过年终一次邮件确认合同履约情况。

【处罚决定】
广东省互联网信息办公室依据《个人信息保护法》第六十六条、《数据安全法》第四十五条，对涉案平台作出以下处理：
（一）责令立即改正违法行为，终止与受托公司的全部合作；
（二）通报批评；
（三）处人民币50万元罚款；
（四）对平台主要负责人（分管信息化的副厅长）进行问责谈话。
广东省纪委监委对涉案平台的主管部门启动问责程序，对相关责任人给予政务处分。
公安机关对受托公司及其涉事员工另案侦查，以涉嫌侵犯公民个人信息罪移送检察院。广东省网信办对受托公司另处人民币200万元罚款。

【典型意义】
本案是政务数据委托处理违规的标杆性案件，具有深远的制度警示意义：
第一，本案揭示了政务数据委托处理中普遍存在的“重建设、轻监管”问题。政府部门将数据处理工作委托给第三方科技公司是数字政府建设的常见模式，但委托不等于免责。本案明确：政务数据的委托方（政府部门）对受托方的数据处理活动承担不可推卸的监管责任。
第二，本案凸显了对受托方能力进行“实质性评估”而非“形式性评估”的执法要求。一纸自评报告不能替代现场核查和技术测试，特别是涉及海量公民敏感信息的委托处理场景。
第三，受托公司将数据转委托至境外公司的行为，触发了数据出境安全评估的监管红线。本案警示所有政务数据的委托处理合同必须明确禁止未经同意的转委托，特别是禁止向境外转移。
第四，本案中纪委监委的介入体现了政务数据处理违规不仅是行政执法问题，更可能涉及公职人员的纪律责任，强化了“个人信息保护无特权”的法治原则。