墨西哥SABG通报公共部门数据保护失职：涉IMSS、SAT、SHF与九家国立卫生机构，私营部门罚没1.185亿比索

墨西哥反腐败与善治秘书处（SABG）在其2025—2026年度第二份工作报告中披露，九家国立卫生机构、墨西哥社会保险局（IMSS）、联邦抵押贷款公司（SHF）以及税务总局（SAT）未能依照法律保护其掌握公民个人数据。该报告是SABG在墨西哥个人数据保护监管职能由INAI转移至该机构后的重要履职记录，公共部门与私营部门的执法数据一并公开。

报告详述了四类典型案件。其一，九家国立卫生机构使用的电子病历系统未取得必要的安全认证，患者的诊断、治疗方案与敏感数据未获得法律要求级别的保护，SABG责令这些机构在40个工作日内修正政策、更新系统并对员工开展培训。其二，IMSS一名拥有授权访问权限的员工不当复制了"慢性病预防模式"参保人数据库并在互联网上公开发布，案件已移送主管机关以确定行政与刑事责任。

其三，SHF遭遇勒索软件攻击并波及个人数据处理系统。调查认定，入侵源于一名持有有效凭证的用户从外部建立连接，导致病毒污染并扩散。除已采取的行政、技术和物理措施外，SABG在裁决中要求通报SHF内部监督机构，以确定是否存在责任。其四，SAT一名公务员利用访问权限无正当理由提取某纳税人的个人数据，这些数据随后被公开并作为"待售数据样本"提供。SABG与SAT的联合取证调查锁定了该公务员，已通报内部监督机构并由其提起刑事控告。

数据层面，SABG披露2025年9月1日至2026年6月30日期间，公共部门共启动122项调查、开展60次核查；私营部门收到294件相关事项、办结298件，其中涉及企业处罚的事项76件、办结71件，因违反个人数据保护规定而处以的罚款总额达1.185亿比索（118.5 million pesos）。报告同时提及，SABG在私营部门案件中通过调解促成当事方达成协议，是办结数量高于收案数量的原因之一。

值得注意的是，报告援引的媒体报道还提到一名化名"Eternal"的网络攻击者兜售据称关联Telcel用户、民事登记处、新莱昂州薪资表、IMSS员工、REPUVE车辆登记及州水务系统的数据库，SABG就此发出两次警示，但现有材料并未确认这些数据库确实来自被点名的机构。此外一条2026年9月22日的Telegram帖子据称提供逾1290万条与呼叫中心相关的记录，该数字与归因由媒体在报道中呈现，并非独立技术核实。上述内容在引用时需注意区分监管认定与第三方声明。