跨境电商个人信息出境与数据泄露的双重合规处置
某总部位于深圳的跨境电商公司,中国境内注册用户约200万,主营母婴用品,业务覆盖欧盟和东南亚。公司使用新加坡AWS区域统一存储全球订单数据,并在新加坡设有5人数据分析团队;中国用户的订单号、收货地址、手机号和购物偏好会实时同步到新加坡。公司还计划把中国用户的客服录音交给菲律宾一家外包商做质检,该外包商通过VPN直接登录公司的客服后台。为跨境清关,系统对部分订单保存了身份证号。近期安全团队自查发现订单查询接口存在越权漏洞(IDOR),初步判断已被利用,涉及约3万条包含姓名、手机号和收货地址的记录,其中约4,000条同时含身份证号。漏洞在5天前发现,尚未对外报告,也尚未通知用户。管理层担心影响即将到来的大促,希望“先修复、观察一段时间再说”,并要求安全团队“把日志清理一下,免得说不清”。公司已通过等级保护三级备案,系统定级为三级,但未设置个人信息保护负责人;隐私政策中只写“可能向境外关联方提供信息”,未列明境外接收方名称和联系方式,也未取得单独同意。公司去年营收约18亿元,法务部只有1名兼职人员,不熟悉数据出境规则。
1. 中国用户个人信息同步至新加坡、客服录音交由菲律宾外包商质检,分别涉及哪些合规义务?请给出可落地的整改路径。
Read the worked answer
两者性质不同,但都属于《个人信息保护法》意义上的“向境外提供个人信息”。
新加坡(向境外关联方提供):需满足第38条路径之一--通过国家网信部门组织的安全评估、经专业机构进行个人信息保护认证,或订立标准合同并向省级网信部门备案。是否必须申报安全评估要看主体与数量条件:公司处理中国境内个人信息达200万人,属于“处理100万人以上个人信息的数据处理者”,向境外提供个人信息应当申报安全评估;此外累计向境外提供10万人个人信息或1万人敏感个人信息也会触发。身份证号属于敏感个人信息,4,000条虽未单独达到1万条门槛,但主体条件已满足。
菲律宾(委托处理):委托境外处理仍构成出境,而且外包商通过VPN直连后台,风险更高。原则上应优先改为境内质检,或去标识化/脱敏后再出境;确需出境的,须签订委托处理协议、开展影响评估并取得单独同意。
整改路径:
- 完成数据映射与分类分级,把敏感信息和原始录音优先留在境内。
- 最小化传输字段,手机号做哈希或脱敏,购物偏好做聚合。
- 隐私政策列明境外接收方名称、联系方式、处理目的与方式、信息种类及权利行使方式,并取得单独同意。
- 开展个人信息保护影响评估并留存记录。
- 与新加坡团队、菲律宾外包商签订数据处理协议,约定安全措施、再委托限制与审计权,收窄VPN权限到最小必要。
- 指定个人信息保护负责人并按规定备案。
2. 针对已发生的疑似数据泄露,公司应当履行哪些义务?“先修复、观察再说”以及“清理日志”的要求是否可行?为什么?
Read the worked answer
应履行的义务:
- 立即采取补救措施:修复IDOR、排查同类越权接口、加强对象级授权校验与自动化测试,《个人信息保护法》第57条、《数据安全法》第29条、《网络安全法》第42条均有明确要求。
- 通知履行个人信息保护职责的部门和个人:告知泄露原因、可能造成的危害、已采取的补救措施、个人可采取的防护建议及联系方式。不能以“尚未查清”为由长期不报。
- 按《国家网络安全事件报告管理办法》等规定向属地网信部门报告,涉嫌犯罪的向公安机关报案;涉及身份证号的应提示用户防范电信诈骗。
- 封存证据链,记录发现时间、影响范围与处置过程。
“先修复、观察再说”不可行:报告与通知义务不以修复完成为前提,拖延属于迟报、瞒报,会加重行政处罚和民事赔偿;泄露信息可能已被用于撞库或精准诈骗,越晚通知用户损失越大。
“清理日志”绝对不能做:日志是事件调查与责任认定的关键证据,删除日志可能违反《网络安全法》第21条关于网络日志留存不少于六个月的要求,并可能构成妨碍调查,性质比漏洞本身更严重。正确做法是封存日志、做只读备份并计算哈希值,由取证人员按流程提取。
3. 结合等级保护要求,该系统应履行哪些手续和日常义务?是否需要考虑关键信息基础设施相关要求?
Read the worked answer
该系统面向200万用户、处理身份证号等敏感个人信息,一旦泄露可能影响大量个人权益并造成社会影响,按等级保护2.0一般定为第三级(公司已备案为三级,判断合理)。需履行:
- 定级备案:到属地公安机关备案,组织专家评审,业务或系统发生重大变更时重新定级。
- 等级测评:三级系统原则上每年至少测评一次,并对不符合项整改闭环。
- 落实三级要求:即“一个中心、三重防护”--安全管理中心,安全通信网络、安全区域边界、安全计算环境,同时套用云计算等扩展要求。
- 组织与人员:设置安全管理机构,实行系统管理员、安全管理员、审计员三员分立。
- 日志留存:网络日志不少于六个月。
- 日常运维:定期风险评估、应急演练、漏洞与补丁管理、外包与供应链安全审查。
关键信息基础设施:跨境电商企业一般不属于关基运营者,但如果被行业主管部门认定,则还需满足《关键信息基础设施安全保护条例》--设立专门安全管理机构、对负责人和关键岗位人员进行安全背景审查、每年至少开展一次检测评估、优先采购安全可信的网络产品、发生重大网络安全事件按规定报告。建议在整改方案中同步做一次关基认定研判,并保留研判记录。