【网络安全事件系列】境外总部出事了,中国公司要报告吗?——跨国数据泄露事件的境内合规义务想象这样一个场景：北京时间周三凌晨两点，您的邮箱突然弹出境外总部信息安全 team's 紧急通报：由于系统配置错误，某客户数据库在全球范围可被未授权访问，时间跨度长达两周。经过紧急排查，确认涉及数千名中国客户的姓名、联系方式及购买记录。作为中国市场负责人，您面对的是一个紧迫而复杂的问题：既然事件发生在境外、IT系统也由境外统一管理，中国法律是否要求我们采取额外行动？如果需要，我们该向谁报告、在什么时限内、报告什么内容？ 这并非假设情境。随着跨国企业普遍采用全球统一的CRM、ERP 及客户服务平台，数据跨境流动已成为日常运营的基础设施。然而，当安全事件在境外节点发生、却波及境内数据主体时，中国实体往往发现自己处于全球统一事件响应流程与中国特定监管要求之间的交叉地带。如何平衡两者的张力，既满足总部全球合规框架，又不触犯中国网络安全与数据保护法规，成为在华外企法务与合规团队的常态化挑战。本文结合近期实务中的类似案例，为您系统梳理当境外网络事件波及中国用户时，境内实体面临的合规义务边界与操作要点。 根据《网络安全法》（CSL）及《个人信息保护法》（PIPL），只要数据主体位于中国境内，且中国实体作为个人信息处理者（数据控制者），即受中国法管辖。即便IT 系统由境外总部统一管理、事件发生在境外，也不影响中国法的适用性。 首先需要澄清一个常见的认知误区：许多跨国企业的境内实体认为，既然客户数据存储在境外服务器、由全球IT 团队管理，甚至安全事件的技术根源位于境外数据中心，那么事件响应自然应完全遵循总部所在法域的要求，中国实体只需"配合"即可。然而，这种理解存在重大合规风险。 中国《个人信息保护法》第三条明确规定，在境内处理自然人个人信息的活动，适用本法；同时，该法第五十一条要求个人信息处理者采取必要措施确保个人信息安全，并在发生泄露时立即采取补救措施、通知监管部门。关键在于，法律并未将"处理活动"限定为"物理上发生在境内的技术操作"。只要中国实体是面向中国客户提供服务的主体，收集并处理了这些客户的个人信息，那么即便其依赖境外母公司部署的系统开展业务，中国实体在法律上仍被视为这些个人信息的安全责任主体。系统由谁管理、服务器位于何地、事件技术根源在何处，这些事实不改变中国实体对境内数据主体的法定保护义务。因此，当境外系统故障导致中国客户数据暴露时，中国法下的合规程序应当立即并行启动，而非等待境外调查结束后再"视情况"处理。 CSL 与 PIPL 均规定，发生个人信息泄露、篡改、丢失时，个人信息处理者应当通知履行个人信息保护职责的部门；同时，原则上亦应告知受影响的数据主体，但存在一项关键例外：如处理者已采取有效措施避免危害发生，则可不予告知个人。 在确认中国法适用后，企业面临的具体义务可以拆解为两个层面：一是面向监管部门的行政报告义务，二是面向数据主体的民事告知义务。这两个义务在触发条件、时限要求及内容标准上存在微妙但关键的差异，实务中极易混淆。 面向监管部门的报告义务具有更强的强制性。《网络安全法》第四十二条与《个人信息保护法》第五十七条均使用"应当通知"的表述，且未设置类似"造成实际损害"或"达到特定数量门槛"的触发条件。从文义解释看，只要发生个人信息泄露、篡改或丢失的事件，无论涉及人数多少、信息敏感程度如何、是否已造成实际经济损失，个人信息处理者均负有向监管部门报告的义务。相比之下，面向数据主体的告知义务则设有"但书"条款。PIPL第五十七条规定，如果个人信息处理者能够证明其已采取有效措施避免危害发生，则可以不予通知个人。这一例外条款为企业提供了一定的操作弹性。例如，如果企业在发现漏洞后两小时内立即关闭访问权限、启动日志审计确认数据未被下载、并为受影响账户强制重置密码及启用多因素认证，经法务与外部顾问评估确认"无实际损害风险"后，可能决定不向中国用户发送"数据可能泄露"的警示邮件。这种决策在商业上是理性的——毕竟在中国消费者高度敏感于个人信息安全的当下，一纸"可能泄露"的通知即便最终证明是虚惊，也可能对品牌声誉造成难以挽回的冲击。然而，企业必须留存完整的损害评估证据链，包括技术日志、风险评估报告及内部决策记录，以备监管检查。 根据《网络安全事件报告管理办法》及相关实践，中国对网络安全事件实行分级管理，对"特别重大"、"重大"及"较大"事件规定了严格的报告时限和指定渠道（通过国家网信部门协调机制）。对于未达上述分级标准的一般事件，现行法规未设定明确的报告时限和形式要求。 理解了中国法下"必须报告监管、未必告知个人"的框架后，接下来是操作层面的核心问题：怎么报？向谁报？何时报？中国的网络安全事件报告制度采用"分级响应"设计，对于达到"特别重大"、"重大"或"较大"标准的事件，企业须通过国家网信办指定的应急协调机制，在极为紧迫的时限内（如特别重大事件需1小时内口头报告、24小时内书面报告）提交详细的技术与影响评估。然而，对于大多数涉及几千条客户记录的常规数据泄露事件，通常难以达到"较大"事件的门槛（该门槛通常涉及百万级用户或关键信息基础设施），这就留下了"一般事件如何报告"的灰色地带。 正是在这一灰色地带，去年 Dior 中国实体遭遇的执法案例提供了重要警示。该案例中，Dior法国总部发生的数据泄露事件波及中国用户，尽管事件规模有限、且中国实体并非主要责任方，但当地网信办仍对其启动了调查程序，并最终认定其违反PIPL 关于数据安全保护的规定。这一案例的启示在于：即便未触发《网络安全事件报告管理办法》中关于"较大"及以上事件的强制报告渠道，主动向属地监管部门（通常是省级或市级网信办）提交书面情况说明，仍是展现合规诚意、降低被认定为"瞒报"或"处置不当"风险的关键策略。 具体操作建议如下：首先，报告时机应把握"不延迟、不抢跑"的原则。建议在母公司发布全球事件通报或完成内部技术调查的同时，向中国属地监管部门提交报告，避免出现在境外已公开披露而中国监管部门尚未收到任何信息的时间差。其次，报告形式应采用正式的书面函件（带公司公章），而非简单的电子邮件或口头沟通，函件中应明确列示事件简要描述、受影响中国用户的确切数量及信息类型（如姓名、电话、购买记录等）、已采取的补救与防护措施（如系统修复、访问日志审计、强制密码重置等），以及中国实体指定的7×24 小时联系人及联系方式。 跨境企业的核心挑战在于协调全球统一的事件响应流程与中国特定的合规要求。境内实体应避免简单援引境外总部的"事件评估结论"，而需基于中国法独立判断，并留存完整的内部决策记录。 因此，建议中国实体在事件响应初期即启动"双轨评估"：一方面配合总部进行全球技术调查，另一方面独立收集中国受影响用户的确切数量、信息敏感程度、是否涉及人脸识别或身份证号等特殊信息，并基于中国标准判断是否触发报告义务。更重要的是，无论最终决定是否向监管部门提交正式报告，都应留存完整的书面决策记录，包括技术团队的事件日志、法务部门的法律分析备忘录，以及管理层的最终决策依据。在监管执法日益常态化的当下，这些内部文档不仅是免责的证据，更是展示企业合规文化的关键材料。 总体而言，当境外网络事件波及中国用户数据时，境内实体应默认启动中国法下的合规评估程序，而非简单等待境外总部"统一安排"。及时向属地监管部门提交书面情况说明，既是履行法定配合义务的体现，也是在监管环境日趋严格的背景下，保护企业声誉、维护业务连续性的审慎之选。随着《网络数据安全管理条例》等新规的落地，可以预见，未来监管部门对跨境数据事件的属地管辖将更为精细，企业宜早建立标准化的跨境事件响应playbook，明确中国团队在触发条件判断、监管沟通及文档留存方面的独立职责。 如您希望进一步了解跨境数据事件的合规响应策略或需要协助起草监管部门沟通函件，欢迎联系。
