网络安全与数据合规处罚案例库

本页收录中国企业或中国企业海外运营主体因网络安全、数据安全、个人信息保护、数据跨境、儿童隐私、Cookie/追踪技术、事件响应等问题受到监管处罚或执法和解的典型案例。

金额记录以监管机构公布的处罚决定、罚款或和解金额为准。综合性罚单中若同时包含支付、反洗钱等其他违法事项，不将全部金额简单归因于数据安全或隐私保护。

一览

企业/主体	时间	地区/监管机构	金额	主要问题
滴滴全球	2022-07	中国·国家网信办	80.26亿元；程维、柳青各100万元	过度收集、违法处理敏感个人信息、明文存储身份证号、未履行网络与数据安全义务
北京快手科技	2026-02	中国·北京市网信办	1.191亿元	未履行网络安全保护义务、漏洞风险处置不及时等
知网相关运营主体	2023-09	中国·国家网信办	5000万元	违反必要原则收集、未经同意收集、注销后未及时删除等
中国民生银行	2025-09	中国·金融监管总局	590万元	系统使用管控、基础软件版本管理、生产运维管理不到位
泉州银行	2026-02	中国·泉州金融监管分局	625万元综合罚款	包含第三方合作数据安全风险管控不到位，同时涉及信贷、EAST数据等多项问题
中信银行	2021-03	中国·原银保监会	450万元	客户信息权限、查询、使用、对外提供及存储等控制不足
招商银行	2025-09	中国·金融监管总局	警告并罚款60万元	数据安全管理不到位
上海小鹏汽车销售服务有限公司	2021-12	中国·上海市徐汇区市场监管局	10万元	未经同意采集人脸信息
TikTok Technology Limited	2025-05	爱尔兰·DPC	5.3亿欧元	EEA用户数据向中国传输及中国境内远程访问的跨境合规问题
TikTok Technology Limited	2023-09	爱尔兰·DPC	3.45亿欧元	儿童用户默认设置、透明度、公平处理等隐私问题
SHEIN相关运营主体	2025-09	法国·CNIL	1.5亿欧元	未经有效同意设置Cookie、拒绝/撤回机制失效等
TikTok	2023-04	英国·ICO	1270万英镑	儿童个人信息处理及透明度问题
国泰航空	2020-03	英国·ICO	50万英镑	补丁、备份、系统支持、防恶意软件等安全措施不足
Musical.ly/TikTok	2019-02	美国·FTC	570万美元	违反COPPA收集儿童个人信息
Zoetop（SHEIN、ROMWE当时运营方）	2022-10	美国·纽约州总检察长	190万美元	数据泄露前安全措施不足，事后通知及披露存在问题
联想美国公司	2017-09	美国·FTC及多州	350万美元多州和解金	预装Superfish/VisualDiscovery削弱HTTPS安全并涉及告知同意问题
VTech	2018-01	美国·FTC	65万美元	儿童隐私与合理数据安全措施不足
AliExpress相关运营主体	2024-07	韩国·PIPC	19.78亿韩元课征金＋780万韩元行政罚款	跨境向境外卖家提供个人信息时告知及保护措施不足
Temu相关运营主体	2025-05	韩国·PIPC	13.69亿韩元课征金＋1760万韩元行政罚款	跨境委托披露、受托方监督、境内代理人、注销和身份证号处理问题

中国境内典型案例

滴滴：数据全生命周期违法处理

2022年7月，国家网信办对滴滴全球股份有限公司处以80.26亿元人民币罚款，并对董事长兼CEO程维、总裁柳青各处100万元罚款。

公开执法信息显示，问题覆盖个人信息处理的多个环节，包括违法收集相册截图信息、过度收集剪切板和应用列表信息、过度收集乘客人脸识别和精准位置等敏感个人信息、明文存储司机身份证号，以及未准确清晰说明处理目的等。

**启示：**高风险并非只来自“数据泄露”，持续性的产品设计和数据处理行为本身就可能构成系统性违法。企业应建立“数据类型—处理目的—必要性—法律依据—保存期限—访问主体”的全生命周期台账。

来源：国家网信办处罚决定

北京快手：网络安全保护义务本身可被直接处罚

2026年2月，北京市互联网信息办公室对北京快手科技有限公司处以1.191亿元人民币罚款。

公开信息显示，违法事项包括未履行网络安全保护义务、未及时处置系统漏洞等安全风险，并涉及违法信息处置义务。

**启示：**监管关注的不只是是否已经造成数据泄露，也关注漏洞管理、风险发现、风险处置等安全义务是否真正运行。

来源：人民网报道

知网：必要原则、同意和删除权

2023年9月，国家网信办依法对知网运营主体处以5000万元人民币罚款。

涉及问题包括违反必要原则收集个人信息、未经同意收集个人信息、未公开或未明示个人信息处理规则、未提供账号注销功能，以及用户注销后未及时删除个人信息等。

**启示：**隐私合规需要落实到产品实际交互流程，不能只依赖一份隐私政策。账号注销、数据删除和数据最小化都需要可验证的技术闭环。

来源：国家网信办

中信银行：权限治理和内部控制

2021年3月，原中国银保监会对中信银行处以450万元人民币罚款。

处罚涉及客户信息保护体制机制不健全、客户信息查询权限管理不符合最小必要原则、违规查询和使用客户信息、违规对外提供客户信息，以及敏感信息存储、系统权限和外包管理等问题。

**启示：**金融数据安全的核心风险往往来自内部权限。需要从RBAC/ABAC、最小权限、敏感操作审批、批量查询控制、行为审计和外包访问隔离等方面形成闭环。

民生银行：信息科技基础控制直接进入监管处罚

2025年9月，国家金融监督管理总局对中国民生银行股份有限公司处以590万元人民币罚款。监管公示列明的主要违法违规行为为“系统使用管控不到位、基础软件版本管理不足、生产运维管理不严等”。

**启示：**金融安全监管已经深入到系统使用、软件生命周期和生产运维等基础工程控制。企业不能把信息科技风险停留在制度层，需要形成账号权限、版本生命周期、生产变更、运维操作和审计证据的闭环。

来源：国家金融监督管理总局

招商银行：数据安全管理不到位可独立处罚

2025年9月，国家金融监督管理总局对招商银行股份有限公司因数据安全管理不到位给予警告并处以60万元人民币罚款。

**启示：**数据安全已经可以作为独立监管事项进入行政处罚。金融机构需要将数据分类分级、访问控制、数据使用、传输、共享、销毁和风险监测形成可验证的治理体系。

来源：国家金融监督管理总局

泉州银行：第三方合作数据安全进入综合罚单

2026年2月，泉州金融监管分局对泉州银行股份有限公司合计处以625万元人民币罚款。违法事项之一为“第三方合作数据安全风险管控不到位”，同时还包括信贷资产风险分类、个人贷款、EAST数据报送等多项问题。

因此，625万元不能整体归类为数据安全罚款。

**启示：**第三方数据合作已成为金融监管明确检查项。企业需要掌握第三方数据流向、处理目的、权限范围、合同责任、持续监督、退出删除和安全事件协同机制。

来源：国家金融监督管理总局福建监管局

小鹏汽车：人脸识别属于高风险个人信息处理

2021年12月，上海小鹏汽车销售服务有限公司因未经消费者同意，在门店通过人脸识别设备采集人脸信息，被处以10万元人民币罚款。

**启示：**生物识别属于高敏感数据。线下门店、摄像头、IoT设备的数据处理同样属于隐私治理范围，不能只管App和服务端。

来源：央广网报道

技术型执法案例：监管具体在查什么

大额罚单适合观察监管后果，但大量未公开具体罚款金额的执法案例更适合反推安全建设基线。2026年9月，国家网信办集中通报网络安全、数据安全和个人信息保护领域典型案件，涉及的技术问题包括：

• 弱口令与暴力破解风险未处置：长期存在管理员弱口令，未及时监测、处置暴力破解风险，最终导致网页被篡改、植入恶意代码。
• 超范围收集个人信息：客户端持续收集超出处理目的最小范围的主机配置、使用时长、用户系统等信息。
• 个人信息违法出境：将姓名、手机号、邮箱、生日、密码等信息传输至境外数据中心，但未依法履行相应的数据出境安全评估义务。
• 人脸信息处理不合规：未真实、准确、完整告知处理目的、方式和用途，且未取得单独同意。

**治理启示：**监管执法已经从“有没有制度”深入到真实技术状态。安全合规检查应直接验证互联网暴露面、账号口令、漏洞和补丁、数据库与中间件访问、日志、客户端采集字段、数据流向、跨境访问、人脸等敏感个人信息处理，以及安全产品授权和策略是否真实有效。

来源：国家网信办：近期网络安全、数据安全、个人信息保护等领域执法典型案例（2026-09-15）

海外监管典型案例

TikTok：远程访问也可能构成跨境传输

2025年5月，爱尔兰数据保护委员会（DPC）宣布对TikTok Technology Limited处以5.3亿欧元罚款。

核心问题涉及欧洲经济区用户数据向中国传输，以及中国境内人员远程访问相关数据时，TikTok未能证明数据获得了与欧盟法律实质等同的保护，同时存在透明度问题。

**启示：**数据是否“落盘”在境外不是判断数据跨境的唯一标准。境内员工、研发和客服对海外用户数据的远程访问，本身就应纳入跨境数据流识别、评估、权限控制和审计范围。

来源：Irish DPC

TikTok：儿童隐私与默认设计

2023年9月，爱尔兰DPC对TikTok处以3.45亿欧元罚款，涉及儿童用户数据处理，包括默认账户设置、平台设计、透明度和公平处理等。

**启示：**Privacy by Design不仅是文档要求，还包括默认公开范围、推荐机制、年龄识别和儿童保护逻辑。

来源：Irish DPC

SHEIN：Cookie同意机制也可能产生巨额处罚

2025年9月，法国CNIL对SHEIN相关运营主体INFINITE STYLES SERVICES CO. LIMITED处以1.5亿欧元罚款。

主要问题包括未经用户有效同意设置Cookie、用户拒绝Cookie后仍存在追踪，以及撤回同意机制未得到有效执行等。

该处罚主要基于法国Cookie相关规则，不应简单概括为“GDPR数据泄露处罚”。

**启示：**Consent Management Platform不能只做到“页面上有按钮”，必须验证拒绝、撤回、过期和第三方脚本阻断是否真正生效。

来源：CNIL

国泰航空：基础安全控制不足也会成为隐私处罚依据

2020年3月，英国ICO对国泰航空处以50万英镑罚款。

监管发现的问题包括备份文件缺少密码保护、面向互联网的服务器未及时修补、使用停止支持的操作系统，以及防恶意软件措施不足等。

**启示：**个人信息保护义务最终会落到传统安全控制。补丁、资产生命周期、加密、防恶意代码等基础安全能力薄弱，可以直接演变为隐私监管风险。

Zoetop/SHEIN：事故后的披露本身也是执法重点

2022年，纽约州总检察长与SHEIN和ROMWE当时运营方Zoetop达成190万美元执法和解。

监管认为其在数据泄露前的安全措施存在不足，并指出事件发生后的用户通知和对影响范围的披露存在问题。

**启示：**发生事故后，“报什么、何时报、报给谁、事实是否准确”与技术止血同等重要。应建立法务、隐私、安全、公关共同参与的事件披露机制。

来源：New York Attorney General

联想：供应链和预装软件可能削弱用户安全

2017年，联想美国公司因部分电脑预装Superfish/VisualDiscovery软件，与FTC及多州监管机构达成执法和解，其中向参与州支付350万美元和解金。

该软件会介入用户加密网络通信并削弱HTTPS安全保护，同时存在信息披露和用户同意问题。

**启示：**终端预装软件、SDK、证书、代理组件等第三方能力应进入安全供应链审查，尤其需要验证是否改变TLS信任边界。

来源：FTC

VTech：儿童隐私和安全措施同时被追责

2018年，美国FTC与VTech达成执法和解，企业支付65万美元民事罚金。

案件同时涉及儿童个人信息收集时的家长通知和同意问题，以及未采取合理数据安全措施。

来源：FTC

AliExpress：境外卖家也是跨境数据接收方

2024年7月，韩国个人信息保护委员会（PIPC）对AliExpress相关运营主体处以19.78亿韩元课征金和780万韩元行政罚款。

监管重点包括向境外卖家提供买家姓名、地址、电话等信息时，未充分说明境外接收方、所在国家等事项，以及相关保护措施不足。

**启示：**Marketplace模式下，商户不是天然“业务必要方”。平台需要识别每一类数据接收者并管理跨境传输依据、告知、合同、权限和留存。

来源：韩国PIPC

Temu：跨境委托还要管理受托方

2025年5月，韩国PIPC对Temu相关运营主体处以13.69亿韩元课征金和1760万韩元行政罚款。

问题包括跨境委托处理和存储披露不足、对受托方监督管理不到位、未依法设置境内代理人、注销流程复杂，以及无合法依据处理韩国卖家的居民登记号码等。

**启示：**跨境合规不仅是签署数据处理协议。企业还需要持续管理处理者清单、下游供应商、数据流向、访问权限、审计、删除和事件响应。

来源：韩国PIPC

金融支付综合罚单：不能把总金额全部算作隐私罚款

支付宝

2023年7月，中国人民银行公布对支付宝（中国）网络技术有限公司的行政处罚，罚款约22.31亿元、没收违法所得约8.31亿元，罚没合计约30.62亿元。

违法事项中包含违反消费者金融信息保护管理规定，但同时还涉及支付账户、支付结算、反洗钱等其他问题。因此，不能把全部30.62亿元归类为“数据安全罚款”。

财付通

同期，财付通支付科技有限公司被罚款约24.27亿元、没收违法所得约5.66亿元，罚没合计约29.93亿元。

同样包含消费者金融信息保护问题，也包括商户管理、支付账户、清算和反洗钱等多项违规。

**启示：**阅读综合监管罚单时应拆分违法事项和法律依据，避免用总处罚金额夸大某一单项数据或安全问题。

从处罚案例反推企业治理

风险类型	代表案例	应建立的核心控制
违法或过度收集	滴滴、知网、小鹏	数据最小化、目的限制、敏感信息审批、产品隐私评审
权限和内部控制	中信银行	最小权限、批量访问控制、高风险查询审批、审计
基础安全措施不足	国泰、快手	漏洞管理、补丁、资产生命周期、加密、恶意代码防护
数据跨境	TikTok、AliExpress、Temu	数据流地图、访问地域识别、跨境机制、接收方/处理者管理
儿童和特殊群体	TikTok、VTech	年龄识别、监护人同意、默认保护、数据最小化
Cookie和追踪	SHEIN	CMP、默认阻断、拒绝/撤回一致性、第三方脚本治理
供应链和客户端	联想	SDK/预装软件审计、证书和TLS边界检查、第三方组件准入
安全事件与披露	Zoetop	事件分级、监管报告、用户通知、事实核验、跨部门应急

案例库使用方法

处罚案例的价值不是“看罚了多少钱”，而是反向理解监管如何认定企业已经失控。建议每个案例持续维护以下字段：

1. 适用主体与业务场景：平台、金融、汽车、终端、跨境电商等。
2. 事实行为：实际做了什么或没有做什么。
3. 违反义务：网络安全、数据安全、隐私、跨境、儿童保护等。
4. 监管证据：监管机构如何证明该问题存在。
5. 处罚结果：罚款、整改、删除数据、停止处理、持续监督等。
6. 控制映射：对应企业内部哪些制度、流程和技术控制。
7. 可验证证据：日志、审批、配置、合同、扫描结果、审计报告等。

最终应形成：

监管案例
   ↓
失控事实
   ↓
法律义务
   ↓
安全 / 隐私控制
   ↓
可验证证据

这样案例库才能从“新闻收藏”转化为安全合规建设和检查的输入。