《信息安全法律法规与标准》课件-3.10《中华人民共和国个人信息保护法》案例分析

《中华人民共和国个人信息保护法》案例分析1《中华人民共和国个人信息保护法》案例分析之一2《中华人民共和国个人信息保护法》案例分析之二01《中华人民共和国个人信息保护法》案例分析之一1、基本案情江苏省无锡市新吴区某健身房使用具有人脸识别、指纹识别等功能的信息管理系统，强制要求会员刷脸或录入指纹进入。由于该管理系统采用分级分层、前后端分离等技术，消费者在前端平台界面仅能看到被采集的个人身份信息，未被告知个人信息收集清单及权限。在部分会员明确拒绝人脸采集识别后，该健身房擅自将会员办卡时提供的照片录入系统作为刷脸进出凭证，且在会员要求删除照片等信息时，以无管理权限为由拒绝删除，其行为侵害众多消费者合法权益，损害社会公共利益。2、案情分析及处理过程新吴区院引入专业技术机构协助调查取证，现场勘验涉案服务场所信息管理系统，出具专家意见，认为该系统在个人信息传输、存储等方面存在安全风险。针对涉案服务场所采集、存储个人信息的必要性和合理性，邀请公安、市场监管、第三方专业机构等召开论证会。2、案情分析及处理过程根据《中华人民共和国个人信息保护法》第二十六条、第二十八条、第四十七条、《最高人民法院关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》第一条第三款等规定，消费者的人脸、指纹等属于生物识别类敏感个人信息，涉案服务场所系公共场所，非维护公共安全必需且未取得消费者单独同意，强制采集、非加密传输、违法存储、未定期删除敏感个人信息的行为，损害了众多消费者合法权益。2、案情分析及处理过程根据《中华人民共和国个人信息保护法》第六十条、第六十一条、《中华人民共和国消费者权益保护法》第二十九条、第三十二条第一款、第五十六条第一款第九项的规定，新吴区院于2022年8月12日向新吴区市场监督管理局制发行政公益诉讼诉前检察建议，督促对涉案服务场所依法处理，切实履行保护消费者合法权益的职责；开展行业规范整治，加大监管力度，建立长效机制，防范类似违法行为发生。2、案情分析及处理过程新吴区市场监督管理局收到检察建议后，对涉案5家服务场所进行集体谈话、责令改正，组织开展专项执法行动，并建立定期检查、约谈、通报等监管机制。涉案服务场所及时整改，改变进入场所方式，采取安全措施传输、定期删除个人信息，向监管部门报送个人信息管理情况。3、典型意义健身房、超市等公共服务场所采集的信息量大、面广、敏感度高，监管不到位，将严重危害众多消费者人身、财产安全。02《中华人民共和国个人信息保护法》案例分析之二1、基本案情原告杜某系某电商平台（系被告某网络公司运营）用户，并在该平台多次购买商品。某日，杜某在购物过程中，被平台发布的“好友圈好友等你开拼手气红包”字样吸引，遂点击该字样，随后页面跳出“进圈并邀请好友”的跳转链接，杜某受吸引点击进入“好友圈”。1、基本案情随后，杜某发现其在该平台的购物记录被自动公开并被分享到“好友圈”为其自动设定的第三人视线之下。社会交往中，朋友通过此功能看到了其购物记录的部分信息，杜某认为隐私受到了侵犯。对此，杜某曾向该电商平台咨询“好友圈”的功能。1、基本案情杜某认为，某网络公司在对用户个人信息处理活动中未依法保障自身的知情权和决定权，侵犯了个人信息权的合法权益，且已严重违反诚实信用原则，造成了相应精神损失，并在诉讼中明确其系依据个人信息保护法第十四条和第四十四条的规定，认为某网络公司构成对其对个人信息的处理享有知情权、决定权的侵害。1、基本案情某网络公司提交了关于行使个人信息权利的申请受理和处理机制路径的相关材料，并指出，杜某在用户注册时，已通过协议约定明确告知用户收集及使用用户个人信息的方式、范围及目的，并获得用户同意，且未收到杜某对其个人信息处理活动的查询申请或投诉信息，不存在侵犯个人信息权益的行为。2、案情分析及处理过程HZ互联网法院于2022年6月23日作出民事裁定书：本案立案后，结合案情和证据材料作程序审查，并未对侵权情形作实体审理。原告杜某主张网络购物信息在其不知情情况下由被告某网络公司所经营的电商平台处理，导致原告杜某不愿被他人知晓的个人信息在一定范围内公开，侵犯了原告杜某在个人信息处理活动中的知情权、决定权，造成原告杜某人格利益受损，故本案系网络侵权责任纠纷中的个人信息保护纠纷。2、案情分析及处理过程《个人信息保护法》第五十条和第六十九条分别对个人信息的司法保护做出了规定。前者适用于个人在个人信息保护法第四章所规定的个人信息权利受到侵害或妨碍，但没有产生损害时所产生的一种“个人信息权利请求权”；后者适用于个人信息权益受到侵权损害而产生的一种“侵权损害赔偿请求权”。2、案情分析及处理过程由于“个人信息权利请求权”的请求权基础为民法典第九百九十五条规定的人格权保护，只要个人信息权利受到侵害或侵害即将发生，即可请求行为人承担停止侵害、排除妨碍、消除危险等民事责任，在构成要件上无需考虑个人信息处理者的主观过错和造成实际损害之要件，其目的在于保障个人信息权利的行使和排除对个人信息权利的妨害，从而为个人信息权利提供一种防御性的保护，避免侵权行为进一步产生实质化的损害后果，最终达到恢复个人信息权利人对人格利益圆满支配状态，保障个人人格的完整性。2、案情分析及处理过程个人信息流动大、使用频率高、范围广，如果直接向法院起诉，不但会造成不必要的诉累，增加个人信息处理的成本，而且可能导致诉讼频发、浪费司法资源，甚至成为恶意诉讼人滥用诉权的工具。2、案情分析及处理过程《个人信息保护法》第五十条第二款明确规定“个人信息处理者拒绝个人行使权利的请求的，个人可以依法向人民法院起诉。”本条的诉权是以“个人信息处理者拒绝个人行使权利的请求”为前提，即设置了个人向法院提起请求权救济的前置条件。个人信息主体应先向个人信息处理者请求行使具体权利，只有在个人信息处理者无正当理由拒绝履行义务或一定期限内不予以处理，或者个人信息处理者提供的申请受理机制失效的情况下，个人方可向法院提起诉讼以获得救济。2、案情分析及处理过程本案中，被告某网络公司已通过协议约定和后台设置构建了个人行使权利的申请受理及处理机制，原告杜某可通过以上方式行使个人信息知情权和决定权。但原告杜某提起本案诉讼前并未向被告某网络公司（信息处理者）提出请求，而是径行向本院请求救济其在个人信息处理活动享有的权利，显然不符合法律规定中关于“个人信息权利请求权”的起诉受理条件，故驳回原告杜某的起诉。3、典型意义（1）当个人信息主体以《个人信息保护法》第四章所规定的个人信息权利受到侵害或妨碍，但没有产生损害时所产生的一种“个人信息权利请求权”行使诉权，应以“个人信息处理者拒绝个人行使权利的请求”为受理前提。因个人信息流动大、使用频率高、范围广，如果直接向法院起诉，不但会造成不必要的诉累，增加个人信息处理的成本，而且可能导致诉讼频发、浪费司法资源，甚至成为恶意诉讼人滥用诉权的工具。实践中，个人信息主体根据现有法律规定，向个人信息处理者积极主张权利，应是最快捷、最便利、最有效的维权方式。3、典型意义（2）个人信息权利行使的落实有赖于处理者的尊重和依法履行保护义务，故个人信息保护法全面规定了个人在信息处理中的权利，并明确规定个人信息处理者应当建立便捷的个人行使权利的申请受理和处理机制，强化个人信息处理者的权利保障义务。只有在申请受理和处理机制未建立、有限时间内未答复、无正当理由拒绝或机制失效等情况下，方可向法院行使诉权。案例分析01.本案中App运营者有何违法行为？经查，“超凡清理管家”等55款App存在强制索要非必要权限、未经单独同意向第三方共享精确位置信息、无隐私政策、超范围收集上传通讯录等问题，违反《个人信息保护法》等法律法规规定，性质恶劣；“东方头条”等80款App存在频繁索要非必要权限、首次启动未提示隐私政策、未告知相关个人信息处理规则、默认勾选隐私政策、无法或难以注销账号等问题，违反《个人信息保护法》等法律法规规定。02.该违法行为应当承担哪些法律责任？“超凡清理管家”等55款App存在强制索要非必要权限、未经单独同意向第三方共享精确位置信息、无隐私政策、超范围收集上传通讯录等问题，违反《个人信息保护法》等法律法规规定，性质恶劣，依法予以下架处置；“东方头条”等80款App存在频繁索要非必要权限、首次启动未提示隐私政策、