迪奥(上海)违规向境外传输用户个人信息案

【案件背景】
2025年5月，上海市公安局网络安全保卫部门在日常巡查和执法检查中发现国际奢侈品牌迪奥（Dior）在华运营主体——迪奥（上海）公司存在违规向境外传输用户个人信息的行为。作为国际奢侈品集团在中国的电商和数据运营枢纽，迪奥（上海）公司通过其官方网站和微信小程序收集了大量中国消费者的购物和个人信息，调查发现该公司在未完成合规程序的情况下将这些数据传输至境外。

【违法事实】
1. 未经单独授权向境外传输个人信息：迪奥（上海）公司通过其官方电商平台收集用户购物记录、浏览偏好、个人身份信息（包括姓名、手机号、收货地址等）后，在未取得用户单独授权同意的情况下，将上述数据实时或定期传输至位于法国的母公司服务器以及位于美国的集团全球CRM（客户关系管理）系统；
2. 未完成个人信息保护影响评估（PIA）：根据《个人信息保护法》第五十五条，向境外提供个人信息属于法定的事前影响评估情形，而迪奥在实施数据传输前并未完成此项评估；
3. 未与境外接收方签订符合法律要求的标准合同或通过安全评估：在《促进和规范数据跨境流动规定》框架下，向境外提供个人信息需满足特定合规条件，迪奥未完成任何一项合规程序即实施了数据传输；
4. 隐私政策中关于跨境传输的告知信息不充分：中文版隐私政策中关于数据跨境传输的描述仅以为提供全球统一客户服务体验可能需要将您的信息传输至境外关联公司一笔带过，未按要求告知境外接收方名称、联系方式、处理目的和方式、个人信息种类，以及行使权利的方式和程序。

【处罚依据】
《个人信息保护法》第三十八条至第四十条（跨境传输规则）、第五十五条至第五十六条（个人信息保护影响评估）；《数据出境安全评估办法》；《促进和规范数据跨境流动规定》。

【处罚决定】
上海公安网安部门对迪奥（上海）公司作出行政处罚，责令限期改正，要求企业完成数据出境安全评估申报或签订标准合同，修订隐私政策中的跨境传输告知条款，并为用户提供撤回跨境传输授权的有效渠道。

【典型意义】
该案是跨国企业在华运营中数据出境合规的典型案例。核心启示：跨国公司不能以集团内部IT架构需要为由豁免数据出境合规义务；告知内容需具体明确——笼统地说可能传输至境外关联公司不构成充分告知；零售和奢侈品行业的数据合规关注度正在上升，监管部门已将执法视野从纯互联网企业扩展至数字化转型中的传统零售行业。