广西钦州公安网安部门对一家未履行个人隐私信息保护义务的机构依法处罚有效预防了网络安全案事件的发生

  钦州网警在日常检查时发现灵山县某机构对用户个人信息管理不规范其通过租用APP共收集6600多名会员信息数万条其中不乏姓名、身份证号码、手机号码、家庭住址等个人敏感信息

  经进一步检查，该机构未按要求制定内部管理制度和操作规程，未采取对应的加密和去标识化等安全技术措施，未合理确定个人隐私信息处理的操作权限，未定期对从业人员进行安全教育和培训，未履行个人隐私信息保护义务。存在公民个人隐私信息泄露或非法提供、出售公民个人隐私信息的风险，钦州公安机关依法予以行政处罚。

  《中华人民共和国个人信息保护法》第五十一条规定：个人信息处理者应该依据个人信息的处理目的、处理方式、个人隐私信息的种类以及对个人权益的影响、可能存在的安全风险等，采取下列措施确保个人隐私信息处理活动符合法律、行政法规的规定，并防止没有经过授权的访问以及个人隐私信息泄露、篡改、丢失：(一)制定内部管理制度和操作规程;(二)对个人隐私信息实行分类管理;(三)采取对应的加密、去标识化等安全技术措施;(四)合理确定个人隐私信息处理的操作权限，并定期对从业人员进行安全教育和培训;(五)制定并组织实施个人隐私信息安全事件应急预案;(六)法律、行政法规规定的其他措施。

  《中华人民共和国个人隐私信息保护法》第六十六条第一款之规定：违反本法规定处理个人隐私信息，或者处理个人隐私信息未履行本法规定的个人隐私信息保护义务的，由履行个人信息保护职责的部门责令改正，给予警告，没收违法来得到的，对违法处理个人隐私信息的应用程序，责令暂停或者终止提供服务;拒不改正的，并处一百万元以下罚款;对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款。

  个人信息一旦遭到泄露，可能会引发骚扰电话、诈骗短信、人肉搜索等信息安全事件，或被犯罪分子用来进行各类非法活动，对个人人身安全和财产安全产生隐患。

  公共Wi-Fi网络通常缺乏加密保护，黑客可以轻松截取用户在网络上的数据传输，从而获取敏感信息。尤其是在进行网购、网上银行等操作时，使用不安全的网络连接风险更大，不法分子能够最终靠中间人攻击，截取用户的银行账户信息和密码。

  许多移动应用程序在安装时要求获取大量权限，若用户随意授予这些权限，就会有高危应用程序收集并滥用用户个人隐私信息的隐患，带来隐私和安全方面的威胁。即便是正规应用程序，也可能因为漏洞或恶意代码而导致信息泄露。

  用户在社交平台上分享的照片、位置、日常动态等，都会成为潜在的安全风险隐患，不法分子能够最终靠分析这些公开信息，获取用户的生活小习惯、家庭状况等，从而进行精准的诈骗活动。

  网络钓鱼是个人隐私信息泄露的主要途径之一。攻击者通常通过伪装成合法机构，如银行、政府部门或有名的公司，发送看似正常的电子邮件或消息，诱导受害者点击链接或下载附件，从而获取其敏感信息。钓鱼网站和虚假页面也是常见的手段，用户一旦输入信息，便会被不法分子窃取。

  警惕公共Wi-Fi网络。日常应避开使用公共Wi-Fi进行敏感操作，如网购等。如果一定要使用公共Wi-Fi，尽量不传输敏感信息，特别是涉及个人账户、密码及隐私方面的信息，以确保数据传输的安全性。

  小心应用程序权限。在安装移动应用程序时，要仔细阅读权限请求，对于不必要的权限应拒绝授予，按时进行检查已安装应用的权限设置，撤销不必要的权限，减少信息泄露的风险。

  谨慎分享个人隐私信息。在社会化媒体上分享个人隐私信息时要保持谨慎，不要公开手机号、家庭住址等敏感信息。按时进行检查隐私设置，确保只有信任的人能够正常的看到你的个人资料和动态。

  提高安全意识。学会识别网络钓鱼和欺诈行为，不随意点击陌生邮件中的链接或下载附件，尤其是那些要求提供敏感信息的邮件;访问网站时，要仔细核对网址，确保其合法性和安全性。

  定期监测个人隐私信息。定期查看银行账单、信用报告等，监测是否有异常交易或没有经过授权的活动。假如发现可疑情况，应及时与相关机构联系，采取必要措施。

  明确个人隐私信息保护责任制。建立个人隐私信息保护组织架构，明确岗位工作职责，制定对应的全流程管理规范、制度、流程等，落实全生命周期的安全管控职责，确保个人隐私信息处理过程的安全合规。

  进行个人隐私信息分类(分级)管理。建立个人隐私信息管理机制，明确数据类型及策略，对个人隐私信息实行分类(分级)管理，从而制定精细化的保护策略，高效、有目的性地保障个人信息安全并确保个人敏感信息处理履行告知义务。

  开展个人信息风险评估。定时进行个人隐私信息保护影响评估，采取风险评估手段识别发现个人隐私信息安全风险，及时整改，规避个人信息泄露、篡改、丢失等安全风险隐患，提升个人隐私信息保护建设水平。

  落实安全技术措施。梳理个人隐私信息全生命周期处理活动，制定相对应的安全要求，对各风险点进行提示，在风险点落实匿名化和去标识化;确保跨境个人隐私信息处理处于合规状态;对个人隐私信息主体各项权利确保落实到位。

  建立个人隐私信息安全事件应急响应机制。建立个人隐私信息安全应急预案，明确个人信息事件的应急方针、政策，应急组织架构及相关应急职责。在安全事件发生后，能够及时采取应急措施，最大限度保护个人隐私信息安全。

  开展个人隐私信息安全意识教育培训。定期开展个人信息安全意识教育培训，加强集体的信息安全保护意识，确保履行个人信息保护义务的部门及个人都能够牢筑安全的基石，促进个人信息的合理利用。