华炬数小合｜一张千万罚单，揭开了数据出境合规的“遮羞布”——携程被罚事件分析

从通报全文看，此次处罚并非孤立事件，而是一次集中整治的组成部分。通报明确，在国家网信办指导下，上海市网信办针对属地部分企业“网络数据安全主体责任履行不到位、安全管理防护措施缺失、后端处理数据合规能力不足、数据出境合规审计不严”等问题办理了一批执法案件，携程案正是其中被公开的典型案例。

通报披露的核心违法事实有两项。第一，未落实数据出境安全评估要求。即企业在向境外传输数据前，没有依法申报并通过国家网信部门组织的数据出境安全评估，属于程序性违规。第二，违法出境个人信息。即在未履行法定程序的情况下，实际已将用户个人信息传输至境外，属于实体性违规。这两项行为之间存在清晰的因果链条：正因为没有走安全评估这条法定通道，后续的信息出境才构成“违法出境”。

值得关注的是两个细节。一是通报专门提到“企业受处罚后积极配合，全面落实有关整改要求”，说明携程在案发后的态度获得了监管认可。二是通报点明执法背景——“今年以来，通过执法办案发现，部分民生领域互联网企业仍然存在违法违规出境个人信息的行为”，监管矛头明确指向与老百姓衣食住行密切相关的民生类平台。出行平台掌握着用户的身份证、护照、行程轨迹、支付信息等高度敏感的数据，自然是监管的重中之重。

（一）法律适用分析

《个人信息保护法》第三十八条为个人信息出境划定了三条合规通道，即：一是通过国家网信部门组织的安全评估；二是经专业机构进行个人信息保护认证；三是与境外接收方订立标准合同。同时，第四十条规定，关键信息基础设施运营者和处理个人信息达到国家网信部门规定数量的处理者，向境外提供个人信息“应当”通过安全评估——这是一条强制性义务，没有选择空间。

国家互联网信息办公室发布的《数据出境安全评估办法》进一步明确了必须申报评估的情形，包括：向境外提供重要数据；关键信息基础设施运营者和处理100万人以上个人信息的数据处理者向境外提供个人信息；自上年1月1日起累计向境外提供10万人个人信息或者1万人敏感个人信息等。

以携程的用户体量，其处理的个人信息数量远超上述门槛，走“安全评估”通道本是法定的唯一选项。绕开这道程序直接把数据传出去，违法定性毫无争议。

（二）处罚尺度分析

《个人信息保护法》第六十六条设置了两档罚则：一般违法，处100万元以下罚款；情节严重的，处5000万元以下或者上一年度营业额5%以下罚款。

1000万元的罚款明显突破了第一档100万元的上限，意味着执法机关认定本案属于“情节严重”的情形，也反映出企业在数据安全管理方面极可能并未全面履行法定义务，未能对出境数据的安全性、合法性进行全面的风险评估和合规审计。但从裁量幅度看，1000万元距离5000万元的法定上限，更别说距离营业额5%的天文数字还有很大差距，属于“情节严重”档位内中等偏下的裁量。有法律界人士分析，通报中肯定企业“积极配合整改”，这很可能正是从轻裁量的关键因素——一旦被立案，配合调查与积极整改是企业降低处罚金额最直接、最可控的变量。

（三）横向比较分析

看到本次处罚，公众很容易联想起2022年滴滴因违法处理个人信息被罚超过80亿元的世纪罚单。两者金额相差悬殊，原因在于违法情节、数据性质和法律定性均不相同：滴滴案涉及违法处理数百亿条个人信息、危害涉嫌国家数据安全，而携程案目前公开的定性是“未评估、违法出境”，通报中并未提及数据泄露或国家安全层面的后果。

但也要看到，携程案的特殊意义恰恰在于它的“日常性”——滴滴案是极端个案，而携程案揭示的是大量跨境经营企业可能普遍存在的合规漏洞。对携程自身而言，1000万元占其营收比例微乎其微，财务冲击有限；但罚单背后的声誉损失、整改成本以及监管持续关注，才是真正的长期代价。更何况，一旦被认定“情节严重”并公开通报，记录将长期伴随企业的信用档案。

（四）深层透视分析

可能很多人会有疑问，按理说越大的公司合规资源越充足，为何反而出事？为何“裸奔”的不是小企业，反而往往是大平台？仔细分析，原因有三。

第一，业务出海的“历史惯性”。携程等平台的国际化布局远早于数据出境立法的完善。国际酒店预订、境外机票出票、全球客服协同，天然要求数据跨境流动。在《个人信息保护法》2021年施行之前，这些数据流早已按业务逻辑跑通多年。立法落地后，存量架构的合规改造涉及系统重构、协议重签、数据回流，工程量巨大，不少企业选择了“拖”字诀。

第二，“知道要合规”与“做到合规”之间的鸿沟。通报所指出的“后端处理数据合规能力不足、数据出境合规审计不严”颇具深意：数据出境的违规点往往不在前台业务，而在后台——日志回传境外总部、使用境外云服务和SaaS工具、境外技术人员远程运维调取数据、接入境外分析SDK……这些“隐蔽通道”在传统的合规盘点中最容易被遗漏。企业可能走了部分评估程序，却没有穷尽识别所有出境场景，“评估了一个场景，漏掉了十个场景”，同样是“未落实评估要求”。

第三，侥幸心理与成本权衡。安全评估周期长、材料要求高、结果不确定，部分企业心存侥幸，认为执法尚未常态化，先出海、后补票。但通过此次处罚明确传递了信号，这条路已经走不通了。

我们更应该思考的是，罚单之后，企业该做什么？

合规审查已进入“实质合规”阶段，“备案即免责”的舒适区不复存在。监管查的不是有没有合规部门的牌子、有没有制度文件，而是数据流的实际走向——过程留痕、可追溯、可验证。企业合规建设必须从“纸面合规”转向“技术+流程+审计”的实质合规。

立即开展数据出境场景的全面盘点。重点排查容易被忽视的后端通道：境外云服务、跨国集团内部数据共享、境外客服与运维访问、嵌入的境外SDK和API、跨境人力资源管理系统的数据回传等。建议按“场景清单—数据字段—接收方—法律依据”四要素建立台账，逐项匹配三条合规路径。

该评估的评估，该签标准合同的签标准合同，路径要选，而且要快。达到强制评估门槛的企业没有选择权，必须申报安全评估；未达门槛的，也要通过标准合同或认证完成合规闭环。一条都不走，就可能是下一张罚单的主角。

把“配合整改”的功课做在前面。本案裁量结果证明，监管既看违法行为本身，也看事后态度。建立常态化合规审计与监管沟通机制，主动自查自纠，远胜于被动挨罚。

对个人用户而言，这是权利意识觉醒的契机。你订的每一张机票、填的每一本护照信息，都可能在不知不觉中跨境流动。关注平台隐私政策、关闭非必要授权、对可疑的信息使用行为依法投诉维权，是每个用户可以做的事。

携程这张1000万元的罚单，金额并不是重点，其意义在于它明确告诉公众：数据出境监管已经从“立规矩”全面转入“动真格”的实质执法阶段，而且执法的焦点正落在与亿万用户息息相关的民生领域平台身上。

数据要素要流动、要创造价值，但流动必须有闸门，跨境必须有边界。对企业而言，合规不再是成本项，而是出海的“通行证”和竞争的“护城河”。