重磅发布:全球数据合规风向——2025年度报告暨2026趋势展望丨威科先行

作者丨垦丁W&W国际法律团队

机构丨垦丁律师事务所

鉴于篇幅限制，以下内容节选自本报告【专题一】，以飨读者：

2025年，全球数字经济正经历一场深刻的监管范式转变。网络与数据安全已从一项单纯的技术议题，演进为关乎企业持续运营和战略部署的法律风险点。根据IBM Security发布的《2025年数据泄露成本报告》（2025 Cost of a Data Breach Report）[1]显示，全球平均每起数据泄露的成本已高达444万美元。为了应对日益凸显的数据安全问题，各国监管机构的监管风向也随之发生了转变——从审查企业“是否建立了合规制度”转向追问“合规制度是否真正落地、安全措施是否切实有效”，并以显著增加的执法强度和频率，推动企业重新审视其数据安全投入的优先级与资源配置。

本文将深入分析2025年发生三件具有标志性意义的数据泄露事件，分析企业在内部治理、应急响应及供应链管理中的典型数据安全风险，并结合实务经验给予合规方向供企业参考。

韩国作为数据密集型经济体，其《个人信息保护法》（PIPA）对企业的数据保护义务设定了极高的标准。然而，今年两起巨头公司的数据泄露案却集中反映了即使是行业领军企业，也可能因数据基础治理缺陷而面临灾难性后果。

2025年11月，韩国最大电商平台Coupang遭受了一起涉及3370万客户账户信息的重大泄露事件[2]。而早在今年八月，作为韩国通信行业巨头的SK电讯也在2025年因数据泄露事件被监管机构个人信息保护委员会（PIPC）处以1348亿韩元的巨额罚款[3]。

图1 图片为韩国Coupang官网主页，其功能类似于淘宝、亚马逊

图2 图片为韩国SK telecom官网页面，已经中文翻译

根据韩国警方对Coupang案的调查显示，该泄露事件疑似源于内部员工利用Coupang认证系统的漏洞，在未经正常授权登录的情况下获取了个人信息。若该情况属实，则可能反应出该企业在身份与访问管理（IAM）和数据监控机制上的缺陷，包括未能有效实施“最小权限”原则、员工数据访问权限的分级管理是否足够精细等问题。如果内部控制系统健全，员工应该具有不同的数据访问权限，从而防止单个员工盗取全体客户信息。同时，泄漏行为持续五个月才被发现，这在一定程度上表明Coupang缺乏有效的异常行为监测能力。而在SK电讯案中，经韩国个人信息保护委员会（PIPC）指出，正是由于公司内互联网系统与内网缺乏物理隔离导致了泄露事件的发生，PIPC认为这一本应属于基础性安全措施的缺失，值得其他企业引以为鉴。

两个案例均是典型的“安全负债”（Security Debt）的体现——企业长期忽视基础架构合规投入，最终要以百倍于投入的罚款和商誉损失来“还债”。在SK案件中，电讯公司不仅支付了高额罚款，为了安抚用户和挽回声誉，还推出了一系列客户安抚与感谢计划[4]，用以缓解与恢复客户的信任。

位于美国的金融软件供应商Marquis Software Solutions在2025年8月遭受勒索攻击，攻击者据报通过其SonicWall防火墙漏洞侵入系统并窃取文件，导致超过78万终端客户的敏感金融信息被泄露[5]。虽然黑客攻击的是供应商Marquis，但对于使用了其服务的700余家金融机构而言，作为相关数据的实际数据控制者，它们所遭受的损失更加难以估量。

本案不仅在事实层面引发了大规模的集体诉讼，更在法律层面揭露了数据合规的一个重要原则：数据合规责任难以通过外包转嫁，数据控制者不能简单地通过一纸服务合同将将合规义务与风险敞口全部转嫁给供应商。当供应链上下游发生安全事件时，监管机构和受影响的用户依然会追溯至数据控制者本身。这一案例提示企业，在采购数字化服务时必须严格审查合同中的数据处理协议（DPA），将供应商的网络安全能力、技术审计权限以及安全事件通报和解决义务作为核心谈判条款，以建立起真正的“合规护城河”。

W&W国际法律团队根据上述案例的分析，理解其共同指向了企业内部数据安全治理的重要性。尤其在Coupang和SKT两个案件中可以看出，缺乏有效的身份与访问管理（IAM）策略、对数据资产缺乏准确清点以及网络隔离与访问控制等基础性安全措施的不足，均可能导致安全事件发生的发生。这提示企业应建立与自身风险等级相适应的数据安全管理制度，明确各层级的安全职责与问责机制，并通过定期审计与管理层认证等方式，确保相关制度得到持续有效的执行。

企业面临的另一个重要合规要求就是针对发生数据安全事件后的通报义务。目前在不同国家，相应的通报要求的方式、时限等存在一定差异。但是，及时通报并保证信息的准确性以及保持沟通的透明、顺畅，是各法域监管机构一致的标准与原则。因此，企业必须在“知晓”或有“有理由认为”安全事件发生的第一时间，立即启动由法律与技术团队共同参与的快速评估流程，以便在法定时限内完成对监管机构及受影响用户的通报，并为后续应对工作奠定基础。

W&W国际法律团队整理了韩国、美国以及欧盟针对数据安全事件的通报义务的相关规定，以供各企业参考：

表1 韩美欧针对数据安全事件通报义务的法律规定

理解Marquis事件表明数据控制者难以通过外包安排将数据泄露风险转移给供应商。因此，企业在与供应商签订的数据处理协议（DPA）中，必须明确约定供应商应当达到的安全标准、企业享有的审计权利以及安全事件发生后的通知时限和协作义务，确保供应商的安全能力是数据控制者自身合规体系的有效延伸，而非潜在的数据安全风险敞口。

2025年发生的多起数据泄露事件表明，基础安全措施的薄弱和内部治理的缺失，可能使企业在安全事件发生后面临高额罚款、集体诉讼乃至难以估量的商业损失，我们理解在数据与网络安全重要性持续上升的背景下，这一风险正变得愈发现实。

因此，企业应将数据安全合规视为一项持续性的战略投入，而非一次性或个案性的应对，通过整合高层治理、技术防御、合同管控与应急响应能力，构建系统化的安全合规体系，并将其融入日常业务运营，企业方能在日益严格的全球监管环境下有效管控风险、保持业务韧性。