执法案例 | 系统委托开发运维的数据安全责任

翻案例库的时候看到一个关于网络系统委托运维数据安全责任的系列案件，一组三个案件（济公（网警）行罚决字[2023]17号、济公（网警）行罚决字[2023]20号、济公（网警）行罚决字[2023]21号）对委托运营导致的数据安全责任进行了全景式的展现。

案件被认定的事实：

1. 公安机关办理一起侵犯公民信息刑事案件，发现“济南市卫生和计划生育信息中心妇幼保健管理系统”存在数据安全管理方面漏洞，被犯罪嫌疑人利用该漏洞和隐患从事将公民信息下载、出售获利。

2. “济南市卫生和计划生育信息中心妇幼保健管理系统”由济南市某事业发展中心所有。

3. 上海某科技公司受济南市某事业发展中心的委托，负责“济南市卫生和计划生育信息中心妇幼保健管理系统”的开发和运维。

4. 崔某受上海某科技公司指派，从事济南市妇幼保健信息管理系统运维工作。

一些启示和发现：

1. 如果发生数据安全事件，网络系统的所有权人、负责运营的机构、相关个人都可能会有法律责任。

2. 委托开发运维无法转嫁责任，系统的所有人始终是第一责任人。

3. 责任大小会有不同。

4. 如果存在连接点，行政处罚的对象并不局限在本辖区内的企业。

5. 公安机关处罚时，援引的法条是《数据安全法》第27、29、30、45条。

6. 没有找到该案件相关刑事案件的裁判文书。