数据安全法与个人信息保护合规培训

20XX/XX/XX数据安全法与个人信息保护合规培训汇报人:XXXCONTENTS目录01

培训开篇介绍02

数据安全法核心要点03

个人信息保护核心要点04

企业实操风险典型案例05

合规问题处理操作流程06

新员工合规行为要求培训开篇介绍01培训的背景与目标

近年数据安全违法案件高发2023年工信部下架126款侵犯用户权益的APP，监管对信息违规处罚力度持续加大。

企业合规体系存在普遍漏洞多数中小互联网企业未建立完善个人信息保护制度，合规风险隐患突出。

帮助学员掌握合规基本要求通过本次培训，让学员明晰合规红线，掌握日常业务中的信息保护操作规范。降低监管处罚风险2024年某头部互联网企业因违规收集用户信息被罚款5800万，合规可规避此类行政处罚。维护企业市场信誉用户更信任信息保护规范的企业，合规能增强用户好感，帮助企业树立负责任的品牌形象。保障企业长期经营完善的合规体系可避免数据泄露、违规经营带来的业务停摆，支撑企业持续稳定发展。企业数据合规的意义数据安全法核心要点02数据分类分级规则

核心分类依据以数据重要程度和影响范围为核心划分，关系国家安全的数据归入核心数据范畴。

分级保护要求不同级别数据对应不同防护强度，重要数据需采取比一般数据更严格的保护措施。

主体责任划分数据处理者需完成本单位数据分类分级，明确不同级别数据的管理责任主体。企业数据安全义务

建立健全数据安全管理制度企业需建立分层分级的数据安全管理制度，例如阿里建立了覆盖全业务链路的内部数据安全管控体系。

开展数据安全风险评估企业应定期对数据处理活动开展风险评估，比如互联网企业每年都需开展用户数据安全专项风险评估。

采取相应安全技术保护措施企业需对重要数据采取加密、去标识化等防护措施，腾讯对用户敏感隐私数据就采用了端到端加密技术。

数据安全事件应急处置企业需制定数据安全事件应急预案，发生泄露后第一时间处置并上报监管部门，满足合规要求。违规行为处罚标准

对拒不配合数据调取的处罚拒不配合国家机关依法调取数据，可处百万以下罚款，还可责令停业整顿、吊销相关证照。

对违法出境数据的处罚未经批准向境外提供重要数据，最高可处千万元罚款，追究相关负责人法律责任。

对数据处理活动违规的处罚未履行数据安全保护义务造成严重后果，可处五百万元以下罚款，吊销营业执照。核心数据分级分类监管我国要求对核心数据进行重点保护，掌握核心数据的企业需每年开展合规审计并上报风险。数据出境安全监管关键信息基础设施运营者出境数据需通过安全评估，例如某网约车平台出境用户数据曾按要求完成评估。数据处理活动合规监管监管部门会对数据处理活动定期检查，2024年多家企业因违规处理数据被处以顶格罚款。重点监管合规要求个人信息保护核心要点03个人信息的定义范围

直接可识别个人信息直接可识别个人信息指可直接确定自然人身份的信息，比如姓名、身份证号、人脸识别信息等。

间接可识别个人信息间接可识别个人信息需结合其他信息才能确定自然人身份，比如消费记录、出行轨迹等。

敏感个人信息敏感个人信息是一旦泄露会危害自然人安全的信息，比如生物识别、宗教信仰、医疗健康信息。合法处理的基本原则合法正当诚信原则处理个人信息需遵守法律规定，秉持诚信，不得通过欺诈、胁迫等手段获取个人信息。目的限定原则个人信息处理需有明确合理的处理目的，且处理活动应当与处理目的直接相关。最小必要原则处理个人信息应当限定为实现处理目的的最小范围，不得过度收集个人信息。公开透明原则处理个人信息应当公开处理规则，明确告知个人信息处理的相关事项，保持透明公开。收集环节规则企业收集员工信息必须取得员工明确同意，仅收集与用工必需的最小范围信息，不得超范围收集。存储环节规则企业需对存储的员工个人信息加密保管，仅授权必要岗位人员接触，防止信息泄露。使用流转规则企业不得向第三方未经授权提供员工个人信息，不得超出约定用工范围使用员工信息。员工个人信息处理规则用户个人信息保护要求01明确收集处理的合法前提处理个人信息需取得个人同意，且不得捆绑业务强迫用户同意授权，典型案例如APP强制索权被监管通报。02保障个人信息主体权利用户有权查询、更正、删除自身个人信息，也可撤回同意，平台需提供便捷的操作通道。03履行信息泄露处置义务发生个人信息泄露后，企业需立即启动应急预案，并及时通知监管部门和受影响用户。04控制信息收集范围遵循最小必要原则，只收集满足业务功能所需的最少信息，禁止过度收集用户信息。违规行为对应责任

民事侵权责任违规处理个人信息造成损害，需承担侵权赔偿责任，如某APP过度采集信息被判赔偿用户精神损失。

行政监管责任违反合规要求会被监管部门处罚，比如滴滴因违法收集用户信息被处80.26亿元罚款。

刑事犯罪责任情节严重的违规行为构成犯罪，某非法售卖公民信息的团伙成员被法院判处有期徒刑。企业实操风险典型案例04越权获取数据案例人脸信息越权抓取上海某科技公司私自抓取线下门店超百万条人脸信息，最终被监管部门罚款五百万元。内部员工越权爬取用户信息某互联网企业员工越权爬取平台用户通讯录信息出售，最终被警方以侵犯公民信息罪逮捕。第三方合作方越权获取数据某招聘平台第三方服务商越权获取平台用户简历信息，违规转卖牟利被行政处罚。跨境违规传输用户信息某头部网约车企业违规向境外母公司传输百万条中国用户信息，被监管部门处罚五百八十万元。内部员工违规传输机密数据某互联网公司运维员工违规将存储的用户出行数据私自传输给第三方，被判处有期徒刑三年。违规传输敏感业务数据某医药企业违规将含有大量患者信息的临床数据传输给境外合作机构，被处以巨额罚款。违规传输数据案例个人信息泄露案例过度收集用户信息案某头部互联网APP超范围收集用户通讯录、地理位置信息，被监管部门依法作出顶格罚款处罚。违规共享个人信息案某零售企业将千万量级的会员个人信息共享给第三方营销机构，被处高额罚款并要求整改。内部员工倒卖信息案某快递公司员工利用职务权限，私自下载出售数十万条用户寄收件信息，最终获刑。敏感信息违规存储案例

未加密存储用户征信信息某消费金融公司违规存储未加密的超50万条用户征信信息，被监管部门处以罚款。

明文存储用户银行卡信息某互联网商城将百万用户银行卡敏感信息明文存储，发生数据泄露后被处以行政处罚。

云端违规存储核心敏感数据某车企违规将大量用户敏感生物识别信息存储在公有云端，引发泄露风险被监管通报。人脸数据违规合作收集杭州某物业公司与科技公司合作收集业主人脸数据，因未获单独同意被处罚款百万元。合作机构数据转卖泄露顺丰员工与第三方公司合作，转卖四千余条用户信息，涉事人员被依法追究刑事责任。跨境合作违规出境数据某电商企业和第三方海外机构合作，违规将五十余万条境内用户信息出境被处罚。第三方合作合规风险案例合规问题处理操作流程05风险识别自查流程

01个人信息收集环节自查核对收集信息是否与业务目的直接相关，是否取得用户明确同意，比如常见APP的权限申请步骤。

02数据存储环节风险排查检查用户敏感信息是否采用加密存储，排查存储设备是否存在漏洞，防止数据被窃取。

03第三方数据共享合规自查核实共享个人信息是否告知用户，确认第三方是否具备同等数据保护资质。

04个人信息处理权限自查梳理企业内部可接触用户信息的岗位，明确各岗位调阅信息的权限范围。合规风险上报流程

风险初步识别登记企业员工识别到个人信息合规风险后，需在内部系统登记风险类型、发生场景和影响范围。风险层级初步判定根据数据泄露规模、敏感程度划分风险等级，一般风险报部门合规岗，重大风险直报总部。上报材料规范整理整理风险相关的截图、用户投诉记录、日志信息，作为附报材料提交给合规审核部门。处理结果跟踪反馈合规部门完成风险处置后，上报人需跟踪反馈处置效果，更新风险台账记录。安全事件处置流程

事件初步研判与上报发现安全事件后，立即排查影响范围和泄露程度，按规定时限向监管部门和用户上报。

风险控制与影响遏制针对泄露的个人信息，第一时间关停风险入口，撤回违规内容，防止危害进一步扩大。

事后复盘与合规整改处置完成后梳理事件原因，完善内部信息保护制度，开展员工合规培训避免同类事件复发。问题整改闭环流程

整改方案制定根据排查出的合规问题，结合数据安全法要求，匹配业务实际明确整改责任人和完成时限。

整改实施跟踪安排专人跟进整改进度，定期核对整改成果，及时协调解决整改过程中出现的资源卡点问题。

整改效果验证对照问题清单逐项核验整改结果，通过模拟合规检测确认问题已解决，留存核验记录归档。

长效机制建立针对发现的问题完善内部信息保护制度，定期开展同类问题复盘排查，避免同类问题重复发生。新员工合规行为要求06日常工作操作规范

敏感数据存储规范公司敏感客户信息需存储在指定加密办公系统，禁止存入个人U盘或私人云盘。外部人员信息核验规范遇外来人员进入办公区，需核对其来访凭证与对接人信息，禁止无权限人员随意进入。工作账号使用规范每人仅可使用本人专属工作账号登录系统，禁止转借账号或共用账号操作。