上海某物业管理企业未获同意向境外传输含金融账户的住宿信息案

【案件背景】
2026年1月，上海市网信办发布2025年网络数据安全执法典型案例，其中一起涉及某物业管理企业违法违规出境用户数据案引发广泛关注。该企业主营业务涵盖物业管理和酒店管理等全球服务，其运营的App主要帮助用户管理会员账号、预订和办理入住手续。在2025年的专项执法检查中，上海市网信办发现该企业在未完成任何法定数据出境合规程序的情况下，自行向境外传输了大量用户个人信息，其中包括金融账户等敏感个人信息。

【违法事实】
网信办认定该企业存在以下严重违反《个人信息保护法》的行为：
1. 未履行三大数据出境路径中任何一项：企业在未申报数据出境安全评估、未订立个人信息出境标准合同、未通过个人信息保护认证的情况下，即自行向境外提供用户个人数据。《个人信息保护法》第三十八条明确要求，个人信息处理者因业务需要确需向中华人民共和国境外提供个人信息的，应当至少通过上述三种方式之一完成合规程序。
2. 出境数据包含金融账户等敏感个人信息：企业运营的App向境外传输的用户住宿信息中包含了金融账户等敏感个人信息。根据《个人信息保护法》第二十八条至第三十二条，处理敏感个人信息须取得个人的单独同意，并告知处理敏感个人信息的必要性及对个人权益的影响。
3. 未取得用户对数据出境的单独同意：《个人信息保护法》第三十九条规定，向境外提供个人信息的，应当向个人告知境外接收方的名称或姓名、联系方式、处理目的方式、个人信息种类以及个人向境外接收方行使权利的方式和程序，并取得个人的单独同意。该企业在整个数据处理流程中均未履行此项义务。
4. 未申报数据出境安全评估：出境数据涉及金融账户等敏感信息，依法应当通过国家网信部门组织的安全评估，企业完全跳过了这一法定程序。

【处罚决定】
上海市网信办依法对该企业作出警告、责令限期改正的行政处罚，要求企业立即整改数据出境合规流程，在完成法定评估/标准合同/认证程序之前停止向境外传输个人数据。

【典型意义】
该案是上海网信办2025年网络安全执法典型案例中的数据出境代表性案例，与中国专家评论一致揭示了一个行业共性问题：很多企业的数据安全合规管理机制体系化程度不足——虽然部分业务环节履行了基本的个人信息保护义务，但整体上并未形成涵盖全数据生命周期且各环节相互衔接的合规流程。特别是在「前端告知-同意」与「后端存储-传输」之间存在脱节——前端或许有隐私政策弹窗，但后端的数据出境未触发任何合规审查。该案警示：跨境业务企业必须建立完整的数据资产盘点、出境识别和合规审查闭环机制。