* 文章系本公众号独家首发，未经授权不得转载、摘编。
还记得2019年7月英国数据监管机构（ICO）对英国航空公司和万豪国际酒店做出的两起天价罚款通知意向吗？英国航空公司收到1.839亿英镑的罚款通知意向（占上一年度全球营业额的1.5％），仅隔一天，万豪酒店收到了9900万英镑的罚款通知意向（占上一年度全球营业额的0.6％）。这两起数据泄露案件有相当的典型性，对比来看同是由于过失和数据安全防护措施不到位而发生的数据泄露，但为何持续时间更长、影响范围更广、泄露数据量更大的万豪却受到更小的处罚？带着满满的好奇心，让我们梳理一下这两起数据泄露事件的来龙去脉，探究一下英国数据保护监管机构执法力度差异的原因吧。
（一）糟糕的安全防护 -- 英国航空公司被罚1.839亿英镑
英国航空公司数据泄露事件得从2018年的9月开始说起。2018年9月6日，英国航空公司宣布遭遇黑客攻击，导致客户数据被盗。具体而言，受影响的数据包括从2018年8月21日BST 22:58到2018年9月5日BST 21:45通过主要网站和移动应用付款提交的数据，具体包括客户个人信息和银行卡信息，如姓名、账单地址、电子邮件地址，以及信用卡号码、有效期和背面的验证码（CVV）等，但不包括护照信息。
Magecart是一个活跃的威胁组织，根据安全公司RiskIQ的分析报告，该威胁组织运营一类基于网站的卡片窃取器，通过注入脚本旨在直接进入电子支付网站或通过这些网站使用的第三方功能，窃取在线支付表格中的消费者的信用卡敏感数据。Magecart在英国航空公司网站上潜伏了很久，针对网站的脆弱性以及网站和移动端支付设置的特点专门定制了攻击策略，成功避开了警报系统，经查验，其在英国航空公司的行李认领页面上植入了22行代码，带走了38万份个人数据。行李提取页面包含一个JavaScript库，该库将屏幕上的所有数据发送到URL“baways.com”，该URL是Magecart创建的British Airways网站的虚假版本。一旦用户在英国航空公司受损的网站上点击“提交”付款按钮或在受损的移动端上按下“提交”按钮后离开屏幕，付款表单中的信息将被提取并发送给攻击者的服务器。此外，这些脚本与正常的支付处理相结合，更加难以识别。
2018年10月25日，英国航空公司在初步调查后，再次发布声明表示此次数据泄露事件可能还会影响更多的人，在4月21日至7月28日期间使用信用卡返现优惠支付的客户个人数据可能会被盗取，还会影响18.5万名客户。而此前，在8月21日至9月5日之间受影响的个人数据预估数量从38万下调至24.4万，两个时段受影响的个人数据总数达到42.9万份。
2019年7月8日，伦敦证券交易所发出公告声明，继2018年9月6日和2018年10月25日披露的英国航空公司网站上的客户数据被盗之后，英国信息专员办公室（ICO）通知英国航空公司，其打算根据该通知向航空公司发出罚款通知，拟处以183,390,000英镑的罚款（占截至2017年12月31日的年度英国航空公司全球营业额的1.5％）。英国航空董事长兼首席执行官亚历克斯·克鲁兹（Alex Cruz）回应对ICO的最初发现感到惊讶和失望。英国航空公司对盗窃客户数据的犯罪行为迅速做出了反应，声称没有发现与盗窃有关的帐户存在欺诈/欺诈活动的证据。”ICO对伦敦证券交易所的公告声明作出回应，称经过详细调查后，确定信息泄露人数扩大到50万。针对此次事件，ICO认为英国航空公司未能采取充分的安全防护措施保障个人数据安全，其用户登录系统、信用卡支付系统、订单维护系统等较为脆弱，违反完整性和保密性义务，拟对英国航空作出1.839亿英镑的罚款决定。母公司国际航空公司集团在一份声明中指出，1.839亿英镑的罚款是英国航空公司2017年全球营业额的1.5％，是ICO之前处罚上限50万英镑（依据原先的《1998年英国数据保护法》）的366倍。GDPR生效后，监管机构可以作出高达2000万欧元（约1800万英镑）的行政罚款或该组织年度全球营业额的4％（以较高者为准）。事件爆发后，由于英国航空公司配合ICO调查并对安全系统进行整改，因而获得向ICO提出有关拟议调查结果和制裁的陈述机会，也已向ICO提出申诉。此外，ICO作为牵头监督机构，代表其他欧盟成员国数据保护机构调查此案件。它还与其他监管机构联络。根据GDPR“一站式服务”规定，受影响的欧盟数据保护机构也将有机会对ICO的调查结果发表评论。所以，在做出最终决定之前，ICO将仔细考虑公司和其他相关数据保护机构的陈述。
《2018年英国数据保护法》附表16规定，ICO自提交处罚通知之日起六个月内必须公布最终处罚决定，除非ICO和该人之间达成协议将该期限延长，处罚对象可以对处罚决定提出上诉。在六个月的时间里，英国航空公司获得了21天的窗口期，可以向ICO表示意见。依据原先的通知时间，2020年1月8日本应当是处罚决定公布之日。然而在截止日前，ICO发布了一份声明，决定将监管程序延长至2020年3月31日。
（二）不充分的并购尽职调查 -- 万豪国际被罚9900万英镑
万豪国际数据泄露事件可追溯到2014年万豪国际收购喜达屋酒店，甚至在收购之前。万豪国际在2016年9月以133亿美元的价格收购了喜达屋酒店。据ICO调查，喜达屋酒店客房预订系统因黑客攻击导致的数据漏洞自2014年7月起便存在。早在2015年，喜达屋就发出警告，称其发现了一款恶意软件，不法分子可利用该恶意软件在其酒店的某些收银机中窃取客户信息。但是当时的喜达屋说没有发生任何安全事件。喜达屋总裁塞尔吉奥·里维拉（Sergio Rivera）在致客户的一封信中写道：“我们目前没有迹象表明我们的客人预订或喜达屋优先顾客会员（Starwood Preferred Guest，SPG）系统受到影响。”2016年万豪收购了喜达屋酒店，但在收购时未能进行充分的尽职调查，直到2018年11月才发现此漏洞。
2018年9月8日万豪国际数据库监控告警系统发出了一条由关于第三方试图访问喜达屋宾客预订数据库的警报。在调查过程中了解到，自2014年以来，一直存在第三方对喜达屋网络未经授权的访问。在这起警报中，未经授权的第三方复制并加密了某些信息，并采取措施试图对该信息进行转移。2018年11月19日，万豪国际对此进行了解密，并锁定信息内容来自喜达屋宾客预定数据库。分析表明，这个数据库存储有在2018年9月10日（或更早）以前曾预定过喜达屋酒店的5亿名客户的个人信息，具体受影响人数还未能完全识别。这些客户个人信息中约有3.27亿人的信息包括如下信息的组合：姓名、邮寄地址、电话号码、电子邮箱地址、护照号码、SPG俱乐部账户信息、出生日期、性别、到达和离开信息、预订日期和通讯偏好。对于某些客户而言，信息还包括支付卡号（已通过高级加密标准AES-128加密）和支付卡有效期。
2018年11月30日，万豪国际向美国证券交易委员会（SEC）及ICO报告此事件，并披露它在11月19日发现其旗下喜达屋酒店客房预订系统存在漏洞，并配合进一步的调查。在2019年1月4日发布的更新中，该公司透露，黑客已经访问并获取了超过525万个未加密的护照号码以及2030万个加密的护照号码。在披露数据泄露事件后，万豪采取了系列补救措施：
-
建立专门网站及电话服务中心。万豪就此事件建立了一个专门网站（info.starwoodhotels.com）和电话服务中心（400-120-0845），确保客户通过有效途径获得有关其个人信息问题的回应，并声明自9月10日以来，在系统中再也没有发现数据泄露风险的证据，从而断定已成功遏制了数据泄露事件；
-
邮件通知。从11月30日起，万豪向预留了邮箱信息并受此事件影响的喜达屋客户发送电子邮件，告知此次数据泄露事件的情况；
-
提供一年免费注册WebWatcher监控工具。WebWatcher将监测涉及共享个人信息的网站，如果发现客户的任何个人信息泄露将会向客户提示风险；
-
停用喜达屋系统。喜达屋宾客预订数据库已于2018年底停止使用，全部改用万豪酒店的系统。
ICO介入调查后发现，该事件导致3.39亿酒店客户信息被黑客窃取，涉及到3000万来自31个欧洲经济区（EEA）国家的居民，其中包括700万英国居民。ICO专员伊丽莎白·丹纳姆（Elizabeth Denham）表示：“GDPR明确规定，组织必须对自己拥有的个人数据负责。包括在进行公司收购时应进行适当的尽职调查，以及采取适当的问责措施以评估获取的个人数据情况以及相关的保护措施。”针对此次事件，ICO拟对万豪国际集团作出1.1亿欧元的罚款决定，认为万豪国际在收购喜达屋时“未进行足够的尽职调查”，并且还应“做更多工作以保护其系统”。
与英国航空公司数据泄露事件同样，万豪国际数据泄露事件的监管程序也被ICO延长至2020年3月31日。
通过梳理英国航空公司和万豪国际两起数据泄露事件概况，可以发现，ICO对于英国航空公司的惩戒性处罚明显重于万豪国际。英国航空公司数据泄露事件影响人数为50万人，被处罚1.83亿英镑，占其上一年度全球营业额的1.5%，而万豪国际数据泄露事件影响3000万，被处罚9900万英镑，仅占其上一年度全球营业额的0.6%。同是由于过失和数据安全防护措施不到位而发生的数据泄露，为何持续时间更长、影响范围更广、泄露数据量更大的万豪却受到更小的处罚？通过对于监管机构行政处罚考量因素的探究，可以窥见两起数据泄露事件处罚有所轻重背后，可能存在以下三个方面的酌情考量。
（一）考量因素一：采取的保障数据安全的技术和组织措施
从过错角度，英国航空公司和万豪国际都存在过失。区别在于英国航空公司本身采用的技术和组织措施是非常糟糕的，对于自身管理漏洞负有不可推卸的责任，因此才导致警报系统无法有效监测危险信号，被22行代码窃取了大量个人数据。而万豪国际的过错在于未能在并购时进行充分的尽职调查，忽视了收购对象本身存在的安全漏洞，但是事后也通过自身的警报系统监测了出来，此外还对部分护照号码进行加密，并对支付卡号进行高级加密标准AES-128加密的保障措施，降低敏感数据被窃取的风险。依据GDPR第32条，英国航空公司在安全保障义务方面应当承担更大的责任。
（二）考量因素二：为减轻数据主体损失而采取的补救措施
万豪国际意识到可能存在泄露危机后，三天内便聘请第三方专业安全团队协助调查取证，并提供了系列补救措施进行及时止损，例如建立专门网站及电话服务中心、邮件通知受此事件影响的喜达屋客户、提供一年免费注册WebWatcher监控工具向客户提示风险、停用喜达屋系统，全部改用万豪酒店的系统。而英国航空公司只是在官网上公布数据泄露相关信息，仅仅建议客户与其银行或信用卡提供商联系并遵循他们的建议。
（三）考量因素三：与监管机构的配合程度以及报告的真实性、全面性、准确性
英国航空公司的调查报告缺乏真实性、全面性、准确性，起初仅公布2018年8月21日至9月5日发生的数据泄露，预估涉及人数达到38万，而后又更新数据泄露可能还发生在4月21日至7月28日期间，在8月21日至9月5日之间受影响的个人数据预估数量从38万下调至24.4万，两个时段受影响的个人数据总数达到42.9万份。但是最终发现这家公司报告的影响人数远低于实际情况，最后经由ICO初步调查，发现人数达50万人以上。相较而言，万豪国际能够如实报告数据泄露情形，更贴近ICO的调查结果。万豪国际预估可能影响5亿客户的个人信息，并准确给出其中3.27亿客户可能受影响的个人数据组合，最后经由ICO调查，人数为3000万。
由此可见，在衡量责任程度时，监管机构非常关注企业在安全保障、补救措施以及配合程度方面的实质表现。企业必须严格部署保障数据安全的技术与组织措施，杜绝出现因失误操作、管理漏洞、疏忽大意等原因出现安全保障不到位的情形。安全事件发生后对数据主体的补救措施应当落到实处，简单的公告及维权建议只是企业发生数据泄露安全事件后必须要承担的义务，想要获得责任减缓的条件，必须要付出一定程度的努力，向受影响的数据主体提供切实的保护机制。配合监管机构时，企业必须确保提交的报告材料是真实、全面、准确的，并在规定的时间期限内反馈。如按时反馈存在困难，要及时向监管机构说明情况请求适当必要的延迟或分阶段提交材料，不能为了急于应对而交付不准确的报告材料。
欧洲经济区数据保护监管执法监测（2020年02月）
欧洲经济区数据保护监管执法监测（2020年01月）
新冠肺炎时期的隐私 -- 企业个人数据保护合规路径初探
Facebook5.5亿美元和解因人脸识别技术引发的用户集体诉讼
中国数据保护合规 | 2019年度大事记盘点
