个人信息保护知识课件

个人信息保护知识课件知法·守规·护权·尽责培训对象全体员工培训时间2026年课程导览01时代之问为什么个人信息保护是每个人的必修课02规则之解法律框架、核心原则与个人权利03责任之重企业义务与员工岗位责任边界04案例之鉴真实处罚案例与违规代价05行动之要日常操作规范与合规行动清单时代之问个人信息保护已上升为国家战略从时代背景看个人信息保护为何刻不容缓01数据时代个人信息保护刻不容缓个人信息保护已从法务或IT部门的专属事务，升级为一项国家战略数字化浪潮下，数据已成为驱动经济增长的

核心引擎驱动增长核心引擎数字化浪潮下，数据已成为驱动经济增长的核心引擎监管发力野蛮生长结束从国家立法密集出台到监管部门重拳出击，野蛮生长的时代已经结束合规约束严密法律覆盖任何一项数据处理活动，都在法律这张严密的网覆盖之下战略升级国家战略升级个人信息保护已从法务或IT部门的专属事务，升级为一项国家战略过去认为保护信息只是法务的事，现在它是

每个人的必修课法律体系四梁八柱我国个人信息保护形成了环环相扣的四梁八柱式法律体系：层级代表文件法律网络安全法、数据安全法、个人信息保护法行政法规网络数据安全管理条例部门规章人脸识别管理办法、合规审计管理办法国家标准个人信息安全规范顶层三部核心法律确立基本框架，下位法规让原则性规定变得具体可操作，国家标准则是监管执法与司法审判的重要参考依据。2026年法规新动态《小型个人信息处理者个人信息保护简化措施规定》自2026年9月1日起施行适用门槛处理个人信息10万人以下可适用简化合规措施处理不满10万人个人信息的主体审计周期合规审计5年一次认证免审通过个人信息保护认证的可免予审计免罚情形不予处罚轻微违法免罚条件及时改正且无危害后果的，依法不予处罚底线提示责任底线仍需履行强制条款简化不等同于免除责任底线，强制性条款依然有效规则之解读懂规则才能守住底线系统解码法律框架、核心原则与个人权利02什么是个人信息以电子或者其他方式记录的、与已识别或者可识别的自然人有关的各类信息只要信息能识别或关联到某个具体的人，就在法律保护范围内定义方式以电子或者其他方式记录的与已识别或可识别的自然人有关的信息常见类型姓名、手机号、住址、身份证号岗位、照片、行踪轨迹立法变化首次将"可识别""可关联"纳入定义基础保护范围显著扩大排除情形匿名化处理后的信息不属于个人信息已无法识别或关联到具体个人五大核心原则最小必要能少采不多采非业务必需信息一律不收集合法正当必要诚信禁止强制捆绑授权不得误导、欺诈、胁迫目的限定采集前明确使用用途不得擅自更改用途、二次挪用准确完整及时更正错误信息杜绝虚假档案留存期限约束业务办结、用工终止后限期销毁冗余信息不得永久囤积告知知情同意规则“告知-知情-同意”是个人信息处理的核心规则体系核心规则要点处理者须事前明示告知目的、方式、范围同意须由个人在充分知情前提下自愿、明确作出默认勾选、隐蔽弹窗、捆绑业务办理均属违法处理目的、方式、信息种类发生变更的，应当重新取得同意个人有权随时撤回同意，处理者应提供便捷的撤回方式禁止过度收集与大数据杀熟限过度收集红线最小范围收集个人信息应限于实现处理目的的最小范围，不得过度收集直接相关处理个人信息须与处理目的直接相关，采取对个人权益影响最小的方式不得捆绑同意不得以个人不同意或撤回同意为由，拒绝提供产品或服务（属必需情形除外）杀大数据杀熟红线决策透明自动化决策俗称“大数据杀熟”，须保证决策透明度和结果公平公正结果公平公正自动化决策须保证结果公平公正禁止差别待遇不得对个人在交易价格等交易条件上实行不合理的差别待遇敏感个人信息特别保护处理敏感信息须取得

单独同意

，非必要不得采集。敏感个人信息类别与典型信息类别典型信息生物识别人脸、指纹、声纹医疗健康体检报告、病史金融账户银行卡号、支付信息行踪轨迹定位记录特定身份身份证、宗教信仰未成年人不满14周岁信息个人八大法定权利员工既是信息处理者，也是权利主体——尊重用户权利，就是保护自己知情权·决定权知情权决定权有权拒绝一揽子打包授权拒绝强制同意查询权·复制权查询权复制权可随时向处理者申请调取本人存档信息更正权·删除权更正权删除权信息有误可要求更正超期或违规采集可要求删除撤回同意权撤回同意权撤回后处理者须即刻停止信息使用、流转、对外共享责任之重每个人都是责任链条上的一环厘清企业义务与员工岗位责任边界03谁是个人信息处理者个人信息处理者，是决定为何收集、如何使用个人信息的主体处理者的界定与责任01处理者通常是公司本单位多数场景下，个人信息处理者即本公司自身02外包不影响责任归属即使把数据处理外包给第三方，处理者的责任不能免除03责任链条反而更长额外增加一项监督第三方的义务企业必做义务清单制度与分类制定内部管理制度和操作规程对个人信息实行分类管理技术与权限采取加密、去标识化等安全技术措施合理确定操作权限，定期开展安全教育培训应急与评估制定并组织个人信息安全事件应急预案事前评估、事后报告，每一项都是硬性要求法律为个人信息处理者设定了一系列刚性的

必做清单，缺一不可员工是责任链条关键一环每个人都是责任链条上的一环员工一旦参与个人信息违规处理，可能面临行政、民事、刑事三重责任岗位全覆盖全员参与从CEO到销售、客服、HR，每一个在工作中接触用户信息的人都要为合规负责。三重责任行政·民事·刑事员工一旦参与个人信息违规处理，可能面临行政、民事、刑事三重责任。企业处罚实例处罚实例多家企业因"未定期对从业人员进行安全教育和培训"被认定不履行保护义务并受行政处罚。双罚制与违法责任违反个保法，公司和个人都要付出沉重代价罚款上限最高

5000万元或上一年度营业额

5%双罚对象不仅罚公司，直接负责的主管人员也要被罚业务处罚情节严重可责令责令暂停业务停业整顿、吊销许可或营业执照个人后果责任人可能被从业禁入甚至追究刑事责任违规记录记入信用档案案例之鉴真实案例是最好的教科书用处罚案例揭示违规的沉重代价04人脸识别滥用案例用真实案例揭示人脸信息处理的法律边界某地产公司售楼处无感抓拍客户人脸，用于判断中介来源、结算佣金01案例事实售楼处无感抓拍某地产公司售楼处无感抓拍客户人脸用于判断中介来源、结算佣金法律定性执法路径警示结论任何试图利用技术手段规避法律的行为，都将面临严厉制裁教培行业非法获取信息案例从规模化侵权案例看清信息买卖黑产的危害教培机构非法购买中小学生家长个人信息，组织员工拨打电话推销家长电话号码是侵权重灾区，一旦流入黑产将形成骚扰链条非法获取信息·实施推销3项非法购买家长个人信息组织员工拨打电话推销网课、志愿填报等服务非法获取公民个人信息200余万条涉案金额

500余万元16名犯罪嫌疑人被依法采取刑事强制措施案件已进入司法程序员工非法导出信息案例用一线员工违规案例警示个人行为的严重后果与连带责任员工个人违规，公司难逃连带责任警示：员工个人违规，公司难逃连带责任01案例一供热公司员工非法导出信息4名员工利用工作便利，将服务器内1.2万余条个人信息导出并非法提供因侵犯公民个人信息犯罪被刑事打击公司被"一案双查"，因不履行个人信息保护义务受行政处罚02案例二电信营业厅员工非法出售验证码代理营业厅员工非法出售手机验证码公司因未制定制度、未培训从业人员被罚系统漏洞导致数据泄露案例技术防护缺失，让数据在不知不觉中流失数据防线失守，往往始于一个被忽视的技术缺口。—安全案例观察弱口令、未授权访问、明文传输是三大常见泄露原因。01案例一数据库裸奔重庆某科技公司数据库未设用户密码，数据被先后窃取159次。02案例二整改仍千疮百孔河南某医院整改后仍存700个安全漏洞，含73个高危漏洞。03案例三测试数据成祸源某数据公司测试数据未及时删除，2400余份内部文件被窃取。04案例四未授权即可访问某软件产品因未授权访问漏洞，可在不登录情况下查看用户车辆状态信息。数据出境违规案例用高额罚单案例警示跨境业务场景的合规高压线上海携程商务因未落实数据出境安全评估要求，被罚

1000万元01案例一案例警示上海携程商务因未落实数据出境安全评估要求，被罚

1000万元。被责令整改，违法向境外提供境内个人信息。依据个人信息保护法相关条款处罚。02案例二合规要点安全评估：数据跨境须经安全评估、合规审计或订立标准合同。敏感信息：一旦涉及敏感个人信息，处理规则会成倍严苛。跨境警示：跨境业务场景下，个人信息出境合规不可忽视。依据个人信息保护法相关条款处罚行动之要合规从每一个日常动作开始落到日常操作规范与合规行动清单05日常办公信息处理规范日常办公信息处理五步规范从采集到销毁，全流程守住个人信息安全底线1采集告知收集前明确告知用途，取得同意不搞捆绑授权2最小采集只采集业务必需信息，用完及时清理不长期囤积3加密传输存储和传输个人信息须加密、去标识化杜绝明文方式4权限管控设置合理操作权限敏感数据最小范围可见5账号安全定期更改密码，不使用弱口令妥善保管系统账号办公场景敏感信息操作红线触碰以上任何一条红线，都可能构成违法甚至犯罪人脸、指纹、身份证、健康信息必须单独授权，不得随意采集严禁批量导出、私自留存客户信息严禁向无关人员提供、出售客户信息手机验证码、账号密码严禁外泄或转售离职前严禁植入程序、带走或挪用数据信息泄露应急处理信息泄露发生后，立即行动是降低损失的第一原则第一步启动预案发现泄露立即启动应急预案，采取补救措施防止损失扩大第二步履行告知按规定告知信息本人，并向主管部门报告第三步批量通知无法逐一通知时，可采用门店公告、客户端弹窗等批量通知方式第四步特殊处置企业停止运营无力删除数据时，可向市级网信部门申请协助处置网络安全事件应及时启动预案，不得只顾重装系统而不修复漏洞合规行动清单1判定适用判定自身是否适用简化规则，盘点当前持有的自然人信息数量→2区分场景区分是否涉及敏感信息和未成年人信息，两类场景不适用简化条款→3轻量合规建立轻量化合规体系，摒弃大厂合规模板的照搬→4常态培训定期参加个人信息保护培训，提升全员意识和能力→5响应闭环完善投诉响应机制，及时响应并处理个人信息主体请求全员守护个人信息安全合规