2025年9月9日，國家網絡安全通報中心公布，公安網安部門對迪奧（上海）公司在跨境傳輸中國個人信息中的三項違法行為做出處罰。

經過公安網安部門對迪奧數據泄露事件的調查，證實其存在三項違法事實，因此根據《個人信息保護法》規定，迪奧（上海）公司依法予以行政處罰：

1、未通過數據出境安全評估、訂立個人信息出境標準合同或通過個人信息保護認證，違規向法國迪奧總部傳輸用戶個人信息。

2、向法國迪奧總部提供用戶個人信息前，未向用戶充分告知其個人信息境外接收方的處理方式，未取得用戶“單獨同意”。

3、未對收集的個人信息采取加密、去標識化等安全技術措施。

01.

百萬條用戶數據“裸奔處境”

奢侈品集團為何頻觸紅線

此次處罰源于今年5月，法國時尚消費品牌迪奧發生的數據泄露事件。5月12日，迪奧品牌向用戶發布短信，表示該品牌發生數據泄露事件。短信內容顯示，品牌于2025年5月7日發現，曾有未經授權的外部人員獲取了迪奧持有的部分客戶數據。泄露的數據包括客戶姓名、性別、手機號碼、電子郵箱、郵寄地址以及消費金額和偏好及其他該品牌收集的用戶信息。

值得注意的是，這并非奢侈品行業第一起數據泄露案件。2025年6月和7月，卡地亞（Cartier）和法國奢侈品牌路易威登（Louis Vuitton）在中國都分別發生了客戶信息泄露事件。雖然，品牌都聲稱泄露數據并不包含客戶的銀行卡、密碼等敏感信息。但這些事件足以說明，這些看似“高端”的品牌在數據化的管理上表現出出相對的粗放和落后。迪奧（上海）公司此次被罰，絕非偶然，它釋放了極其強烈的監管信號，也反映了當前數據安全與個人信息保護的全球性趨勢。此次處罰最直接的意義在于，它清晰地展示了中國《個人信息保護法》（以下簡稱PIPL）的執法嚴肅性和威懾力。

PIPL自2021年11月1日生效以來，監管部門一直在通過案例來確立其權威。此次對迪奧這樣的國際頂級奢侈品牌開出罰單，表明法律面前一律平等，無論企業規模多大、背景多強，只要違規，就必須承擔法律責任。這起到了“殺一儆百”的警示作用。

公安網安部門指出的三項違法事實，直擊PIPL的核心要求：

1. 數據出境合規（第一條）：這是PIPL的監管重點。企業向境外提供個人信息，必須通過安全評估、標準合同或保護認證這三條路徑中的一種。迪奧顯然一條都沒走，屬于“裸奔”式出境，是重大違規。

2. 告知-同意原則（第二條）：PIPL要求信息處理者在進行信息出境等敏感操作時，必須獲得用戶的“單獨同意”。不能藏在冗長的用戶協議里一筆帶過。迪奧未能做到這一點，侵犯了用戶的知情權和決定權。

3. 安全技術措施（第三條）：要求采取加密、去標識化等技術手段保護數據安全，這是防止數據泄露的基礎。迪奧未能做好，導致了數據泄露事件的發生。

值得注意的是，迪奧作為法國企業，必然對歐盟的《通用數據保護條例》（GDPR）非常熟悉。GDPR同樣以嚴厲的罰款和嚴格的跨境數據傳輸規則著稱。此次中國的處罰表明，中國在數據保護領域的執法力度和嚴格程度正在向歐盟看齊。跨國企業需要同時滿足全球多個司法管轄區的嚴苛要求，合規復雜性大大增加。

02.

迪奧被罰警示錄

PIPL對美妝行業有哪些正反饋

1、營銷與客戶關系管理（CRM）的顛覆性改變

PIPL的影響可以概括為：它極大地收緊了美妝品牌收集、使用，特別是跨境傳輸消費者個人數據的自由度，將數據合規從“可選項”變成了“必選項”，并重塑了品牌與消費者之間的信任關系。

美妝行業極度依賴營銷和會員體系，而PIPL的核心——“告知-同意”原則，直接對此進行了規范。過去，品牌可能會在用戶注冊會員時，用一長串用戶協議“打包”獲取用戶對接收營銷短信、電話、個性化推薦、數據共享等眾多事項的同意。

PIPL出臺之后要求對于處理敏感個人信息、向境外提供個人信息、公開個人信息等場景，必須取得用戶的“單獨同意”。品牌無法再“輕易地”將用戶納入營銷名單。獲取新客授權的成本變高，營銷活動的響應率可能會短期下降，但長期看，獲得的將是更高質量、真正愿意與品牌互動的用戶授權。

2、數據跨境傳輸的“緊箍咒”

美妝巨頭多為跨國公司（如歐萊雅、雅詩蘭黛、資生堂、LVMH集團旗下的迪奧等），其全球總部通常需要分析中國市場的用戶數據以進行戰略決策、產品研發和全球CRM分析。此次迪奧（上海）直接向法國總部傳輸數據，但一條合法路徑都沒走，這是其被罰的首要原因。這意味著全球總部不能隨意調取中國數據：中國子公司必須首先完成本地合規流程，否則無權向總部傳輸數據。

3、對“敏感個人信息”的嚴格界定和處理

美妝行業收集的很多信息都屬于PIPL定義的“敏感個人信息”，包括：

生物識別信息：通過肌膚檢測設備、虛擬試妝（AR試妝）工具收集的面部特征信息。

健康生理信息：用戶的皮膚類型（敏感肌、油性肌等）、過敏史、肌膚問題（痘痘、皺紋、色斑等）、孕期信息（用于推薦產品）。

特定身份信息：行蹤軌跡（通過線下門店定位或活動簽到獲取）。

PIPL出臺之后品牌必須明確告知用戶收集了哪些面部數據、用于何種用途、存儲多久，并獲得用戶的明確授權，而不能僅僅將其作為一個“好玩的”營銷功能。

東耳觀點：此案是一個分水嶺事件，標志著中國數據隱私保護進入了“嚴格執法、動真格”的新階段。這是一次嚴厲的合規警示，宣告了“數據裸奔”時代的結束，所有企業必須將數據合規提升至戰略高度。

品牌需要重新思考與消費者的關系：不再是數據的占有者，而是用戶信任的受托者。那些能率先做好合規、透明地使用數據、真正贏得用戶信任的品牌，將在未來的競爭中占據更有利的位置。