(网经社讯)10月24日凌晨，安克、耐克、盒马、CATLINK等多个品牌的企业微信客服账号几乎同时向用户发送涉黄引流链接，引发大量投诉与关注。当天下午，企业微信安全团队发布公告，原因系某第三方外挂软件服务被攻破，受影响账号已被强制下线，相关链接已被封禁。

网经社电子商务研究中心特约研究员、北京嘉润（杭州）律师事务所权益合伙人李晋沅律师接受#网经社 专访时表示：

第一，第一责任人是品牌方，而非企业微信。本次事件中，企业微信只是数据的传输通道，品牌方才是《个人信息保护法》"个人信息处理者"，自主决定处理目的与方式。依据个保法第9条，个人信息处理者应当对其个人信息处理活动负责，并采取必要措施保障所处理的个人信息的安全。《网络数据安全管理条例》（以下简称《条例》）第9条也明确规定，网络数据处理者应当对所处理网络数据的安全承担主体责任。品牌方可称第三方外挂软件服务被攻破，但其不是免责事由；对受害客户，个保法第69条的过错推定首先落在品牌身上。

 第二，个人信息委托处理时监督义务被忽视。像品牌使用外挂，多为实现群控、批量群发等，其中必然要求账号登录与客户会话的访问。换句话说，品牌很可能在事实上把客户个人信息交给了外挂服务软件。依据个保法第21条、《条例》第12条，这属于委托处理个人信息：须约定处理目的、方式与保护措施，并对受托人"进行监督"、处理记录留存至少三年。且个保法第55条要求委托处理前，个人信息处理者应当事前开展个人信息保护影响评估。若品牌方与外挂软件服务商只签署服务协议，却从未审计其服务器、权限与数据流向，法定的监督义务则沦为虚设。 

第三，合规的前提是服务软件的合法合规。外挂软件服务商多以篡改客户端、绕过平台安全机制、模拟登录实现。制售此类软件，司法实践中有广州南沙"海贼王"系列微信外挂案等代表，以《刑法》第285条"提供侵入、非法控制计算机信息系统程序、工具罪"定罪。品牌方/企业采购使用，是为黑产提供市场，在过错认定上也难以主张不知情。 

第四，事后补救义务有明确时间限制。根据个保法第57条、数安法第29条、民法第1038条，事发后应立即采取补救措施、报告并通知利害关系人。《国家网络安全事件报告管理办法》（以下简称《办法》）第4条规定，网络安全事件属较大以上级别的，非关基运营者最迟不得超过四小时向属地省级网信部门报告。《办法》第5条要求本案中，品牌方应以合同等形式要求外挂软件服务商"及时报告"其监测发现的安全事件。此事件中可体现为，外挂软件服务商被攻破后品牌方能否第一时间获知。

专家介绍：李晋沅：专业领域：直播电商、文娱影视行业合规；社会活动：浙江金融职业学院兼职讲师(经济法一大数据法律法规与实务方向)、浙江省数据法学会理事、杭州市滨江区直播电商产业联合会合规中心主任、杭州市滨江区网络人士联合会成员。全国首例《直播电商产业合规指引》起草编纂人。

【小贴士】

网经社深耕电商与互联网近20年，依托旗下网络消费纠纷调解平台“电诉宝”（315.100EC.CN）及开放型电商智库平台网经社电子商务研究中心（RESC.100EC.CN），通过立法参谋、监管课题、监管培训、监管会议、监管调研、专项报告六大方式，在推动消费维权、参与行业立法、促进平台合规等方面成果显著，持续获得有关部委的认可（详见：https://www.100ec.cn/zt/scjghbhb/）。