某新能源科技企业用户数据泄露案

【案件背景】
2025年11月28日，上海市网信办公布了一批个人信息保护行政执法典型案例，其中某新能源科技企业的用户数据泄露案因其涉及面广、数据敏感程度高而引发广泛关注。该企业主营智能充电桩的研发和运营，在全国范围内运营着数万个公共和私人充电桩，通过配套App为数十万电动车车主提供充电查找、预约、支付和管理服务。在此过程中，企业收集了大量用户个人信息和车辆数据。

【违法事实】
1. 安全保障措施严重缺失致大规模数据泄露：企业使用的用户信息数据库采用默认密码且未修改，数据存储系统未实施访问控制策略，攻击者可通过互联网直接访问。被泄露数据包括用户姓名、手机号码、身份证号、车辆VIN码、车辆型号、车牌号码、充电记录（精确到分钟级的充电时间、地点经纬度、充电时长和消费金额）以及部分用户家庭住址。泄露涉及数十万条数据，在黑市上被非法出售和传播。
2. 数据泄露后未履行法定通知义务：企业发现数据泄露后未向主管部门报告，也未及时通知受影响个人用户，未对泄露原因和影响范围进行调查和评估，也未采取补救措施。
3. 超出业务必要范围收集个人信息：提供充电服务仅需注册和支付信息，但App还收集了车辆VIN码、行驶证照片等与充电服务无直接关联的信息，企业未能说明收集这些额外信息的合法基础。

【处罚依据】
《个人信息保护法》第六条（最小必要原则）、第九条（安全保障义务）、第五十一条（安全保护措施要求）、第五十七条（数据泄露通知义务）；《网络安全法》第二十一条、第二十五条；《数据安全法》第二十七条、第二十九条。

【处罚决定】
上海市网信办依法对该企业作出警告、罚款、责令限期改正的行政处罚，要求立即修复安全漏洞、重新部署数据安全防护体系、对受影响用户逐一通知并提供信用监控等补救措施，在整改完成前暂停收集新用户信息。

【典型意义】
该案是新能源智能网联汽车生态中数据安全问题的典型案例。核心教训：网络安全是数据合规的基础——数据库不设密码这种最低级错误面前，纸面上的合规文件再完善也无从谈起；数据泄露后的捂盖子心态非常危险——延迟或不报告不仅不能减轻责任，反而构成独立违法行为；充电记录中精确的经纬度和时间戳数据累积起来可还原用户生活轨迹和出行规律，具有极高隐私风险。