个人信息安全保护

2026/06/25个人信息安全保护汇报人：合规培训部目录个人信息安全保护现状与挑战核心法规体系与最新制度更新合规审计与人脸识别专项要求2026年专项行动与重点领域治理典型监管处罚与司法案例剖析企业合规最佳实践与行动路径010203040506个人信息安全保护现状与挑战01个人信息保护的时代背景数字经济高速发展，个人信息已成为核心生产要素，保护与利用的平衡成为时代命题2021年《个人信息保护法》出台，标志我国个人信息保护进入法治化新阶段2025年国家网信办发布首份《中国个人信息保护报告》，系统梳理年度工作进展2026年三部门联合启动个人信息保护系列专项行动，监管力度持续加码70%受众面对个人信息侵权时，无法找到最有效的维权渠道平台乱象跨平台数据追踪、强制授权、过度收集等问题依然普遍制度落地原则性规定偏多、操作性标准偏少，"最后一公里"落地仍是治理难点当前行业核心痛点41.7%企业担忧员工向AI工具泄露敏感数据超越勒索软件90%安全运营中心受困于海量误报运营效率瓶颈62%安全团队面临人员稳定性不足人才流失风险资产底数不清个人信息类型、存储位置、流转路径难以全面梳理超范围收集隐患无法从源头排查过程管控无力数据流转全链路缺乏有效监测违规采集、第三方共享不透明、敏感数据滥用难以实时阻断事后响应被动数据泄露后无法快速溯源、及时处置面临高额罚款与品牌声誉受损风险AI泄露风险居首41.7%的企业担忧员工向AI工具泄露敏感数据已超越勒索软件成为最受关注的网络安全风险误报淹没真实威胁近90%的安全运营中心受困于海量误报真实威胁被淹没在噪音中，响应效率急剧下降安全人才流失严重62%的安全团队面临人员稳定性不足专业安全人才短缺加剧运营压力核心法规体系与最新制度更新02个人信息保护法律体系全景核心法律法律层级《个人信息保护法》《数据安全法》《网络安全法》（2025年修正）配套法规法律层级《网络数据安全管理条例》《未成年人网络保护条例》《关键信息基础设施安全保护条例》部门规章法律层级《个人信息保护合规审计管理办法》《人脸识别技术应用安全管理办法》《个人信息出境认证办法》标准体系标准建设2025年发布9项个人信息保护国家标准，含2项强制性标准、7项推荐性标准国家标准GB/T45574-2025《数据安全技术

敏感个人信息处理安全要求》明确敏感信息识别与界定方法2025-2026年重点新规解读新规名称生效时间核心要点《网络数据安全管理条例》2025年细化网络数据处理者义务，处理1000万人以上信息需遵守重要数据管理规定《个人信息保护合规审计管理办法》2025年明确审计频次、审计主体、负责人指定等要求《人脸识别技术应用安全管理办法》2025年使用前须开展个人信息保护影响评估，禁止将人脸识别作为唯一验证方式《个人信息出境认证办法》2025年建立个人信息出境认证机制，规范跨境传输路径《个人信息出境标准合同办法》已施行采用标准合同需完成备案，明确向境外提供信息的条件敏感个人信息的界定与处理规则生物识别人脸基因声纹虹膜指纹宗教信仰个人信仰的宗教加入的宗教组织特定身份残障人士身份不适宜公开的职业身份医疗健康病症既往病史就诊记录检验检查数据金融账户银行账户的账号及密码证券账户的账号及密码基金账户的账号及密码保险账户的账号及密码行踪轨迹连续精准定位轨迹车辆行驶轨迹未成年人信息不满十四周岁未成年人的所有个人信息处理规则：必须具有特定目的和充分必要性，采取严格保护措施，并取得个人单独同意跨境数据传输合规框架中国路径欧盟GDPR新动向企业应对立即行动合规优先重要数据跨境传输须通过国家网信部门安全评估采用标准合同方式需完成备案，明确接收方保护义务通过个人信息出境认证获得合规通道《数据安全法》实施分类分级管理，差异化保护措施2026年GDPR完成第三次修订，引入数据保护官（DPO）强制认证制度新增"数据保护桥"跨境传输机制，企业需先向欧盟监管机构申请认证赋予数据主体要求企业停止使用数据甚至获得经济补偿的权利需同时满足中外双轨合规要求建立跨境数据传输专项管理制度合规审计与人脸识别专项要求03合规审计频次与主体要求每两年超过1000万人《个人信息保护合规审计管理办法》第四条每三年或四年100万-1000万人国家标准《数据安全技术

个人信息保护合规审计要求》每五年不超过100万人国家标准参考统计口径说明个人信息数量统计按当前处理涉及的自然人数量计算，不含已删除信息负责人指定要求处理100万人以上个人信息的主体须指定个人信息保护负责人线上系统报送2025年7月起，个人信息保护负责人信息需通过线上系统报送未成年人个人信息保护专项14周岁敏感个人信息须监护人单独同意18周岁未成年人信息纳入专项合规审计教育机构信息处理者须制定专门处理规则审计频次要求处理未成年人个人信息的主体须每年开展专项合规审计审计结果须及时报告网信等部门审计依据涵盖《个人信息保护法》《未成年人网络保护条例》《儿童个人信息网络保护规定》等2026专项行动重点教育机构不得将人脸识别作为唯一验证方式不得过度收集家长职业、收入等信息法规依据《个人信息保护法》《未成年人网络保护条例》《儿童个人信息网络保护规定》人脸识别技术应用合规要点人脸识别是当前监管执法的高频场景，合规红线不可触碰1目的正当性处理目的、方式是否合法、正当、必要2权益影响对个人权益带来的影响，降低不利影响的措施是否有效3风险预判信息泄露、篡改、丢失、被非法获取的风险及可能危害4措施适配保护措施是否合法、有效并与风险程度相适应不得唯一验证不得将人脸识别作为唯一验证方式（非人脸识别技术可实现验证的场景）不得强制同意不得强制用户同意收集人脸信息须显著提示加密保护须设置显著提示标识，采取加密等严格保护措施2026年专项行动与重点领域治理042026年专项行动总体部署1100余款违法违规App和SDK累计通报8万余个收集使用人脸识别的应用场所排查8300余个违法违规收集使用个人信息问题处置1App、SDK违法违规收集使用个人信息2互联网广告领域违法违规收集使用个人信息3教育领域违法违规收集使用个人信息4交通领域违法违规收集使用个人信息5卫生健康领域违法违规收集使用个人信息6金融领域违法违规收集使用个人信息7个人信息相关违法犯罪案件App与SDK专项治理重点规则缺失未公开个人信息收集使用规则，未提供有效注销账号功能，未建立投诉举报渠道告知不实告知收集目的、方式、范围与实际收集使用情况不一致未经同意未经用户同意收集使用个人信息，强制同意收集非必要信息超范围收集在无关场景收集位置、通讯录、短信等，超出最低必要频率调用权限关闭推荐选项利用自动化决策推送广告，须设置便捷的个性化推荐关闭选项停止收集删除标签关闭推荐后须停止收集信息，须提供删除用户特征标签功能明确第三方信息提供须在处理规则中明确向第三方提供信息的种类、目的及接收方信息教育与交通领域专项治理交通领域14周岁规则缺失处理不满14周岁未成年人信息未制定专门规则、未取得监护人同意过度收集非必要信息过度收集位置、学籍、家长身份证号、职业等非必要信息第三方提供未告知向第三方提供信息未告知接收方名称、目的、方式，未取得同意人脸识别唯一验证将人脸识别作为唯一验证方式，未落实安全管理要求管理制度缺失未建立保护管理制度、未采取安全措施、存在泄露风险无关场景收集权限在无关场景收集位置、通讯录，调用麦克风、存储等非必要权限扫码缴费强制注册公共停车场扫码缴费强制注册、强制收集手机号第三方提供未告知向票务代理等第三方提供信息未告知、未取得同意卫生健康与金融领域专项治理过度收集患者非诊疗必要信息病历诊断数据存储传输未加密从业人员非法获取提供患者信息向第三方提供健康数据未获单独同意访问控制不严缺乏全流程留痕机制应急处置预案缺失安全事件响应滞后高敏感数据领域四大顽疾超采滥用泄露监管弱金融账户信息收集超出业务必要范围个人征信信息共享披露未履行告知义务信贷保险场景敏感数据跨机构流转缺乏合规管控典型监管处罚与司法案例剖析05医疗信息泄露：博某软件案287万条医疗挂号用户信息泄露案案情概要博某软件公司为医院开发维护网上挂号系统期间，暗中从后台非法收集用户个人信息安排员工将数据导入公司自建数据库，后续安装接口实现自动导入案发后提取到去重后合计287万余条个人信息裁判结果被告单位被判处罚金30万元法定代表人何某某等被判有期徒刑5年6个月至1年6个月不等，并处罚金合规警示互联网企业在服务过程中非法获取公民信息，属于"提供服务过程中收集"的法定情形企业须严格在授权范围内处理信息，建立数据访问审计与异常行为监测机制行业"内鬼"与"开盒"网暴案行业"内鬼"案铁路内鬼售信息案客运员陈某某利用职务便利查询高铁出行信息以每条10-60元价格出售通过同事代为查询扩大范围，违法所得约19万元法院依法从重惩处，体现对行业"内鬼"零容忍态度"开盒"网暴案"网络开盒"网暴案杭州临安区检察院针对"网络开盒"侵害个人信息问题提起民事公益诉讼通过追究民事侵权责任加大司法惩治力度为反网络暴力积累经验合规警示内部人员滥用权限是信息泄露主要源头建立最小权限原则全流程操作留痕，确保可追溯须建立最小权限原则与全流程操作留痕智慧停车与景区"黄牛"案智慧停车案河北徐水区合规启示行业级整改方向缺乏安全防护：系统安全机制缺失强制关注公众号：缴费前强制关注未提供隐私协议：无用户授权说明未加密传输：数据明文传输风险任意查询车辆轨迹：位置信息泄露148项安全漏洞整改2.8万条敏感信息规范处置纯净二维码改造完成景区"黄牛"案江西景德镇46.78%博物馆团队通道重复登记个人信息占比旅行社未经授权使用旅客信息重复预约抢票打掉6个"黄牛"团伙行政拘留4人景区嵌入异常预约智能模块技术防护前置：建立安全开发规范最小必要原则：杜绝强制授权与过度采集全链路监控：异常行为实时预警拦截刑行衔接：行政处罚与刑事打击联动检察机关推动行业级整改逝者信息泄露与停车系统违规案无论规模大小，个人信息处理者均须履行法定安全保障义务合规警示：无论规模大小，个人信息处理者均须履行法定安全保障义务逝者信息泄露案上海闵行区获取逝者及亲属信息800余份医院医生及急救人员利用工作便利获取违法提供给殡葬行业用于商业营销严重侵害逝者亲属安宁权益检察机关推动堵塞监管漏洞为新修订《殡葬管理条例》实施提供示范停车系统违规案福建泉州行政处罚未制定内部管理制度和操作规程某单位停车管理系统管理缺位未采取加密、去标识化等安全技术措施车主信息面临泄露风险公安机关依法行政处罚依据《个人信息保护法》对涉事单位处罚新型场景特征逝者信息成为新型侵害对象殡葬领域个人信息保护需求凸显单位内部系统纳入监管视野停车管理等场景安全义务明确化跨行业信息流转风险上升医疗-殡葬等链条式泄露模式显现监管覆盖范围持续扩展新型信息侵害场景不断涌现企业合规最佳实践与行动路径06全生命周期合规框架事前风险评估与加固梳理千余项合规检查点，定制场景化风险评估用例全面盘点个人信息资产清单，明确数据类型、存储位置、流转路径从源头排查超范围收集、权限不合规等隐患，输出安全加固建议事中流转识别与防护全面梳理个人信息使用接口，实时监测数据流转全路径精准识别已知与未知数据风险，建立安全防护策略实现敏感数据脱敏、异常访问拦截、非法采集阻断事后泄露监测与预警持续监测互联网公开渠道与暗网中的个人敏感数据泄露、交易情况定期输出分析报告，及时开展风险预警与应急响应第一时间阻断泄露扩散，将合规处罚与舆情风险降至最低合规审计落地操作指引2年超1000万人信息可委托专业机构3-4年100万-1000万人信息至少一次1年未成年人信息专项审计+报备100万负责人制度门槛须指定专人负责审计实施要点全环节覆盖审计内容须覆盖个人信息收集、存储、使用、加工、传输、提供、公开全环节重点审查机制重点审查告知同意机制、最小必要原则落实、敏感信息保护措施、跨境传输合规性报告留存与整改审计报告须留存备查，发现问题须限期整改并跟踪验证负责人制度100万人门槛处理100万人以上信息须指定个人信息保护负责人专业能力要求负责人负责监督个人信息处理活动及合规审计工作直报权未成年人信息审计须每年开展并向网信部门报备重点行业场景合规要点医疗行业建立医疗数据全流程备案机制，实施分类分级管控部署访问控制与全流程留痕，严防内部人员滥用建立常态化安全风险评估与异常行为智能监测教育行业未成年人信息处理须取得监护人单独同意，制定专门处理规则不得过度收集家长职业、收入等非必要信息人脸识别不得作为唯一验证方式金融行业金融账户信息须加密存储与传输，严格访问权限管理跨机构数据共享须取得单独同意并明确告知接收方建立征信信息专项保护机制个人信息保护影响评估实操评估触发场景敏感个人信息自动化决策委托处理/第三方提供跨境传输人脸识别5类场景评估核心要素1合法性审查处理目的是否合法、正当、必要2必要性论证处理方式是否对个人权益影响最小3风险识别信