2025年9月9日，国家网络安全通报中心公布，公安网安部门对迪奥（上海）公司在跨境传输中国个人信息中的三项违法行为做出处罚。

经过公安网安部门对迪奥数据泄露事件的调查，证实其存在三项违法事实，因此根据《个人信息保护法》规定，迪奥（上海）公司依法予以行政处罚：

1、未通过数据出境安全评估、订立个人信息出境标准合同或通过个人信息保护认证，违规向法国迪奥总部传输用户个人信息。

2、向法国迪奥总部提供用户个人信息前，未向用户充分告知其个人信息境外接收方的处理方式，未取得用户“单独同意”。

3、未对收集的个人信息采取加密、去标识化等安全技术措施。

01.

百万条用户数据“裸奔处境”

奢侈品集团为何频触红线

此次处罚源于今年5月，法国时尚消费品牌迪奥发生的数据泄露事件。5月12日，迪奥品牌向用户发布短信，表示该品牌发生数据泄露事件。短信内容显示，品牌于2025年5月7日发现，曾有未经授权的外部人员获取了迪奥持有的部分客户数据。泄露的数据包括客户姓名、性别、手机号码、电子邮箱、邮寄地址以及消费金额和偏好及其他该品牌收集的用户信息。

值得注意的是，这并非奢侈品行业第一起数据泄露案件。2025年6月和7月，卡地亚（Cartier）和法国奢侈品牌路易威登（Louis Vuitton）在中国都分别发生了客户信息泄露事件。虽然，品牌都声称泄露数据并不包含客户的银行卡、密码等敏感信息。但这些事件足以说明，这些看似“高端”的品牌在数据化的管理上表现出出相对的粗放和落后。迪奥（上海）公司此次被罚，绝非偶然，它释放了极其强烈的监管信号，也反映了当前数据安全与个人信息保护的全球性趋势。此次处罚最直接的意义在于，它清晰地展示了中国《个人信息保护法》（以下简称PIPL）的执法严肃性和威慑力。

PIPL自2021年11月1日生效以来，监管部门一直在通过案例来确立其权威。此次对迪奥这样的国际顶级奢侈品牌开出罚单，表明法律面前一律平等，无论企业规模多大、背景多强，只要违规，就必须承担法律责任。这起到了“杀一儆百”的警示作用。

公安网安部门指出的三项违法事实，直击PIPL的核心要求：

1. 数据出境合规（第一条）：这是PIPL的监管重点。企业向境外提供个人信息，必须通过安全评估、标准合同或保护认证这三条路径中的一种。迪奥显然一条都没走，属于“裸奔”式出境，是重大违规。

2. 告知-同意原则（第二条）：PIPL要求信息处理者在进行信息出境等敏感操作时，必须获得用户的“单独同意”。不能藏在冗长的用户协议里一笔带过。迪奥未能做到这一点，侵犯了用户的知情权和决定权。

3. 安全技术措施（第三条）：要求采取加密、去标识化等技术手段保护数据安全，这是防止数据泄露的基础。迪奥未能做好，导致了数据泄露事件的发生。

值得注意的是，迪奥作为法国企业，必然对欧盟的《通用数据保护条例》（GDPR）非常熟悉。GDPR同样以严厉的罚款和严格的跨境数据传输规则著称。此次中国的处罚表明，中国在数据保护领域的执法力度和严格程度正在向欧盟看齐。跨国企业需要同时满足全球多个司法管辖区的严苛要求，合规复杂性大大增加。

02.

迪奥被罚警示录

PIPL对美妆行业有哪些正反馈

1、营销与客户关系管理（CRM）的颠覆性改变

PIPL的影响可以概括为：它极大地收紧了美妆品牌收集、使用，特别是跨境传输消费者个人数据的自由度，将数据合规从“可选项”变成了“必选项”，并重塑了品牌与消费者之间的信任关系。

美妆行业极度依赖营销和会员体系，而PIPL的核心——“告知-同意”原则，直接对此进行了规范。过去，品牌可能会在用户注册会员时，用一长串用户协议“打包”获取用户对接收营销短信、电话、个性化推荐、数据共享等众多事项的同意。

PIPL出台之后要求对于处理敏感个人信息、向境外提供个人信息、公开个人信息等场景，必须取得用户的“单独同意”。品牌无法再“轻易地”将用户纳入营销名单。获取新客授权的成本变高，营销活动的响应率可能会短期下降，但长期看，获得的将是更高质量、真正愿意与品牌互动的用户授权。

2、数据跨境传输的“紧箍咒”

美妆巨头多为跨国公司（如欧莱雅、雅诗兰黛、资生堂、LVMH集团旗下的迪奥等），其全球总部通常需要分析中国市场的用户数据以进行战略决策、产品研发和全球CRM分析。此次迪奥（上海）直接向法国总部传输数据，但一条合法路径都没走，这是其被罚的首要原因。这意味着全球总部不能随意调取中国数据：中国子公司必须首先完成本地合规流程，否则无权向总部传输数据。

3、对“敏感个人信息”的严格界定和处理

美妆行业收集的很多信息都属于PIPL定义的“敏感个人信息”，包括：

生物识别信息：通过肌肤检测设备、虚拟试妆（AR试妆）工具收集的面部特征信息。

健康生理信息：用户的皮肤类型（敏感肌、油性肌等）、过敏史、肌肤问题（痘痘、皱纹、色斑等）、孕期信息（用于推荐产品）。

特定身份信息：行踪轨迹（通过线下门店定位或活动签到获取）。

PIPL出台之后品牌必须明确告知用户收集了哪些面部数据、用于何种用途、存储多久，并获得用户的明确授权，而不能仅仅将其作为一个“好玩的”营销功能。

东耳观点：此案是一个分水岭事件，标志着中国数据隐私保护进入了“严格执法、动真格”的新阶段。这是一次严厉的合规警示，宣告了“数据裸奔”时代的结束，所有企业必须将数据合规提升至战略高度。

品牌需要重新思考与消费者的关系：不再是数据的占有者，而是用户信任的受托者。那些能率先做好合规、透明地使用数据、真正赢得用户信任的品牌，将在未来的竞争中占据更有利的位置。