上海市网信办对某外资连锁酒店集团未将中国境内收集的住客个人信息存储于中国境内服务器处以行政处罚案（2023年）

【案件背景】
《个人信息保护法》第40条规定：'关键信息基础设施运营者和处理个人信息达到国家网信部门规定数量的个人信息处理者，应当将在中华人民共和国境内收集和产生的个人信息存储在境内。'在酒店行业，住客的姓名、身份证/护照号码、手机号、信用卡信息、住宿记录等构成了大量的个人敏感信息，且由于国际连锁酒店集团的运营结构，这些信息往往通过集团的全球中央预订系统（CRS）和客户关系管理（CRM）系统跨境流转。2023年，上海市网信办在个人信息保护专项检查中发现某国际知名酒店集团在华业务存在数据存储本地化缺陷。

【违法事实】
上海市网信办检查认定：1）该酒店集团在中国运营超过300家酒店，年均接待住客超千万人次，处理个人信息的数量远超国家网信部门规定的标准，属于应当履行境内存储义务的个人信息处理者；2）该集团通过统一的全球CRS系统管理全球预订，中国住客的完整个人信息（含身份证号、护照信息、同住人姓名、支付卡号等）在客人完成预订时即被实时传输并存储于位于美国的集团总部数据中心，在中国境内仅保留不完整的历史备份，不满足《个人信息保护法》第40条关于'存储在境内'的完整性和排他性要求；3）该集团虽在中国设有数据中心，但其作用仅限于提供集团内网连接和基础IT支持，并非中国住客个人信息的主要存储节点，其架构本质上仍是'以境外为主'的数据存储模式；4）该集团在向境外传输住客个人信息时，直接援引其全球统一的隐私政策中'为履行预订合同所必需'作为跨境传输的法律基础，但未就此获取住客的单独同意，且未进行个人信息保护影响评估和标准合同备案。

【处罚决定】
上海市网信办依据《个人信息保护法》第66条，对该酒店管理公司处以50万元人民币的行政罚款，并责令在8个月内完成以下整改：1）在境内建立能够完整存储和独立处理中国住客个人信息的数据存储和处理系统，实现中国住客数据在中国境内的首次记录和主要存储；2）向国家网信部门申报数据出境安全评估或履行标准合同备案程序；3）修订面向中国住客的隐私政策，用中文清晰告知信息存储地点和跨境传输情形；4）对现有境外存储的中国住客数据进行合规性追溯处理；5）对直接负责的主管人员和其他直接责任人员进行数据合规培训并记录留痕。

【典型意义】
本案将《个人信息保护法》第40条的数据境内存储义务从'纸面上的法条'变为'实践中的执法'，对酒店、航空、在线旅游等高度依赖全球预订系统和CRM的国际服务行业具有普遍警示意义。第一，'处理个人信息达到规定数量'的门槛对于大型连锁服务企业而言几乎必然触发——这使数据存储本地化义务从关键信息基础设施运营者扩展至覆盖更广泛的商业主体；第二，全球统一的IT架构不能作为数据本地化义务的抗辩——跨国企业必须为每个触发本地化义务的市场构建独立或高度隔离的数据架构；第三，本案特别值得注意的是处罚对象是'中国管理公司'而非外国母公司——这表明法律将通过境内的法律实体追究责任，不论该实体在集团内部对数据的实际控制权有多大。