波兰UODO主席致函总检察长，要求重启中国跨境电商平台 PandaBuy 数据泄露案侦查：130万客户数据被公开、受害波兰客户数万人

据UODO披露，2024年3月31日前后，pandabuy.com 约130万名全球客户个人数据在网上被公开，其中包括数万名波兰客户。被泄露数据涵盖姓名、电子邮箱、电话号码、用户标识符、IP地址、密码、收货地址，以及订单与支付相关信息。

2024年4月7日，新上线的网站"lista-drillowcow.pl"出现一张可交互的波兰地图，运营者利用上述泄露数据在地图上标注客户姓名与收货地址。此后该网站虽一度下线，但同样内容又出现在"lista drillowcow.club"与"lista-drillowcow.xyz"等域名下。

UODO主席认为，管理上述网站者对波兰客户个人数据的处理及公开传播缺乏法律依据，构成《个人数据保护法》第107条第1款所禁止的行为，遂于2024年4月29日向华沙市中心北区地区检察院提交了涉嫌犯罪的合理怀疑举报。

案件进程随后反复：2024年6月22日检察院依刑事诉讼法第17条第1款第1项（缺乏充分犯罪嫌疑依据）作出不予立案决定；UODO主席于2024年7月1日提出申诉；2024年10月21日华沙市中心区法院支持申诉并撤销该决定，认为UODO提交的信息与材料表明存在合理犯罪嫌疑，且已获警方核查印证；2025年9月25日地区检察院又作出终止侦查决定；UODO主席向华沙地区检察院申诉后，该院于2026年3月13日决定不予支持，维持终止侦查。

要求重启的三项理由：UODO主席指出，办案人员及批准驳回申诉的地区检察院检察官未全面审查全部证据材料，违反刑事诉讼法第297条第1款第2、4、5项确立的原则——既未查明、也未抓获行为人，亦未查明全部受害人与损失规模；侦查中未查清涉案域名的注册者与管理者、未向主机服务商调取可识别网站管理人身份的数据、未查清从中国平台泄露的数据经何渠道落入网站运营者之手、未开展可确定行为人身份的技术分析、也未询问个人数据被公开的受害人。UODO主席据此认为，本案存在对证据材料的"任意评价"而非"自由评价"，办案机关仅以程序性理由终结案件而未作实体审理。

UODO主席在函件中强调，该中国平台当然无意公布数据泄露信息，因其不符合自身利益；但追诉非法使用波兰公民个人数据的行为人，符合公共利益，也符合波兰执法机关的利益。