个人信息超范围收集与泄露问题分析研究报告

中国网络空间安全协会中国消费者协会新华网 2025年3月 编者按 中国网络空间安全协会是由中央网信办主管的网络空间安全领域的全国性社会组织，中国消费者协会是依法成立的对商品和服务进行社会监督的保护消费者合法权益的社会组织，新华网是国家通讯社新华社主办的综合新闻信息服务门户网站。 面对个人信息超范围收集、泄露等违法违规处理个人信息问题的挑战，中国网络空间安全协会、中国消费者协会、新华网在“国际消费者权益日”之际，编制了《个人信息超范围收集与泄露问题分析研究报告》，旨在唤起社会各界对这一问题的进一步关注和重视，为企业、法律从业者和广大网民提供参考，共同构建更加安全、可靠、透明的个人信息处理环境，让个人信息在数字空间中得到进一步的尊重和保护。 本报告聚焦个人信息超范围收集和泄露问题，结合已经处置的11个典型案例，一是梳理了个人信息超范围收集与泄露的整体情况，提出目前个人信息超范围收集和泄露的典型问题，包括个人和企业能力与信息不对称加剧信息滥用、技术防护不足导致泄露频发、海量数据汇集放大泄露后果等；二是从企业、个人和技术三个层面指出个人信息超范围收集和泄露的原因，分别是企业合规缺位与安全管理缺失、个人判断能力欠缺与寻求救济困难、保护与利用在技术上存在冲 突等；三是建议通过加强个人信息保护宣传教育、建立健全平台用户投诉机制以及开发“一键关闭权限”功能等技术手段，破解个人信息超范围收集和泄露的难题。 引言 个人信息超范围收集是指信息收集者在未经用户明确同意，或超出为实现特定服务目的所必需的范围，收集与业务无关或超出最小必要限度的个人信息。而个人信息泄露是指因安全措施不足、人为过失或恶意行为导致个人信息被未经授权访问、公开或非法传播，造成隐私或安全风险。个人信息超范围收集与泄露主要发生在互联网应用、金融、医疗、教育等重要领域，其中互联网应用领域问题尤为突出。 个人信息超范围收集与泄露的危害体现于社会、企业和个人三个层面： 在社会层面，由于个人信息安全风险具有溢出性、扩散性，超范围收集和泄露个人信息易导致公共安全遭受威胁。不法分子可能利用相关个人信息实施电信诈骗、网络攻击等犯罪活动，破坏社会秩序，一些个人信息可能被境外势力用于间谍活动，危及国家安全。 在企业层面，个人信息泄露不仅会严重损害企业商誉，导致客户信任下降、市场份额流失，还会增加企业在信息安全治理、合规整改等方面的成本，威胁企业可持续发展。 在个人层面，超范围收集和泄露个人信息易导致敏感个人信息被滥用，加剧个体在网络环境中的风险暴露，威胁个人的人格尊严和人身、财产安全。 目录 二、企业技术防护不足导致泄露频发................................................-2- （一）企业合规制度缺位....................................................................-7-（二）安全管理缺失............................................................................-9- 二、个人层面：判断能力欠缺与寻求救济困难.............................-10- （一）信息主体认知不足导致“同意”形式化困境.....................-10-（二）个别企业捆绑授权模式削弱用户选择权.............................-11-（三）技术复杂性与后果滞后性加剧安全风险.............................-12-（四）个人信息主体救济困难助长违法行为..................................-12- 三、技术层面：保护与利用在技术上存在冲突.............................-13- （一）数据收集技术层面的原因......................................................-13-（二）数据存储技术层面的原因......................................................-14-（三）数据使用技术层面的原因......................................................-15- 第三章个人信息超范围收集与泄露的对策...................................-17- 一、企业合规：规范管理落实主体责任..........................................-18- （一）完善个人信息保护合规体系..................................................-18- （二）强化个人信息处理员工管理..................................................-19-（三）健全落实应急处理安全机制..................................................-20- 二、个体救济：倾斜保护化解救济困局..........................................-22- （一）加强个人信息保护宣传教育..................................................-22-（二）建立健全平台用户投诉机制..................................................-23- 三、技术保障：技术手段严守保护红线..........................................-24- 第一章个人信息超范围收集与泄露的典型问题 一、个人与企业能力和信息不对称加剧信息滥用 在各种个人信息超范围收集与泄露问题中，个人信息滥用现象愈发严重。此类问题的根源在于个人与企业之间能力和信息的高度不对称性，即企业或机构与个人在技术能力、知识储备和资源获取上的差距，具体表现为以下两种情形。 一是技术能力差异导致信息收集失衡。企业和机构凭借其技术能力，能够轻易收集用户的个人信息，而普通用户由于缺乏技术知识，难以有效阻止。技术能力的差距使得个人信息处理者在信息收集过程中占据主导地位，用户往往处于被动接受的状态。 案例1：2023年9月，某学术平台在用户进行文献检索、下载时，未经用户同意便收集其浏览记录、搜索偏好等信息，用户难以及时察觉并阻止其收集。 个别互联网应用通过过度索要权限的方式，迫使用户在功能使用和个人隐私之间做出妥协，进一步加剧了信息收集的失衡。 案例2：2024年5月，某词典软件在不通知用户的前提下，其系统自动为客户默认勾选“已阅读并同意服务条款和隐私政策”的选项，若用户拒绝，系统将会自动闪退，无法正常使用。 二是知识储备差距引发信息认知偏差。企业和机构在法律和技术相关知识方面占据优势，而普通用户对此了解有限，导致双方对信息处理的认知能力存在显著差距。一些企业在隐私政策中使用复杂的专业术语，使得用户难以理解其真实含义，从而在不知情的情况下同意信息收集。这种认知偏差使得用户无法有效保护自身权益，甚至未能意识到自身信息被滥用。 案例3：2024年1月，某餐饮企业软件在个人信息收集环节，强制索取精准位置信息，由于用户普遍缺乏相关法律知识，既未意识到自己拥有拒绝提供信息的自主选择权，也不了解这种强制索取行为是否符合法律法规，最终只能被动接受。 上述个人信息收集方式不仅侵犯了用户的相关权利，还可能导致用户的隐私被过度暴露，甚至被用于商业分析或其他未经授权的用途，进一步加剧了个人信息滥用的风险。 二、企业技术防护不足导致泄露频发 技术防护不足也是个人信息泄露的主要诱因之一，具体表现为以下三类情形： 一是技术防护短板凸显。技术防护是保障个人信息安全的关键所在，但一些企业和机构在此方面存在明显不足。数据库加密是防止数据泄露的基础措施，但有的企业未能落实 这一基本防护手段，暴露出其在数据安全技术应用上的严重缺陷。 数据库加密只是技术防护的起点，其他如数据脱敏、访问控制、入侵检测等技术手段同样十分必要。然而，一些企业由于技术投入不足或安全意识薄弱，往往忽视这些关键环节，导致数据泄露事件频发。此外，由于网络攻击手段不断升级，传统的防护技术已难以应对复杂的威胁环境，企业和机构亟须加强技术研发和创新，构建多层次、全方位的安全防护体系。 二是管理漏洞引发危机。数据管理漏洞往往源于企业对信息安全的重视程度不足，未能建立完善的管理制度和监督机制。例如，个别企业未制定明确的数据分类分级标准，导致敏感数据与非敏感数据混同管理；未实施严格的权限控制，导致员工可以随意访问超出其职责范围的数据；未建立有效的审计机制，导致数据泄露事件发生后无法追溯责任。这些问题不仅增加了数据泄露的风险，也削弱了企业的整体安全防护能力。 案例4：2023年11月，某药房内部人员利用管理漏洞盗卖客户数据，根源在于缺乏全流程的数据管理制度。从数据采集、存储、使用到传输的各个环节，均存在泄露风险。该药房未能严格限制和监控员工的数据访问权限，导致内部人员轻易获取并出售大量客户信息。 三是责任逃避加重风险。在个别政务系统的合作项目中，合作方不履行个人信息保护和数据安全义务极易直接导致信息泄露风险现实化。 案例5：2023年9月，某政务系统的承包商在测试数据时未履行安全义务，导致大量公民的个人身份信息和社保记录等敏感数据泄露。 政务系统涉及的数据安全性至关重要，但承包商在测试过程中未采取有效的安全措施，使得这些关键数据暴露在风险之中。一旦这些数据被滥用，将严重损害政务系统公信力和公民权益，甚至可能引发社会不稳定因素。责任逃避不仅体现在合作方的安全义务履行不到位，还体现在企业和机构在数据泄露事件发生后的应对不力。例如，个别企业在发现数据泄露后，未能及时向公众披露信息，导致用户无法采取有效的补救措施，同时未能积极配合监管部门调查，导致事件处理进展缓慢，造成更为严重的后果。 三、海量数据汇集放大泄露后果 一是海量数据集聚放大安全管理挑战。由于信息化的普及与数据的规模效应，个别个人信息处理者掌握的个人信息量级极大，数据规模的扩大一方面加大了安全管理的难度，另一方面也催生了安全风险的聚集。 当个人信息处理者的服务器遭受攻击时，大量数据将在 短时间内被整体盗用，导致用户的各类信息被不法分子获取，一方面使得大量信息主体直接暴露在隐私泄露和诈骗等下游损害的风险中，另一方面大量信息被用于恶意数据分析后产生的新信息更是可能危及公共安全。 二是大量数据交互暴露安全防护薄弱环节。数据接口作为信息交互的关键通道，一旦存在漏洞，便可能导致信息泄露事件的发生。数据接口是不同系统、平台或应用程序之间进行数据传输和共享的桥梁，无论是企业内部系统之间的数据交换，还是与外部用户或第三方服务之间的数据交互，都需要通过数据接口实现。由于数据接口需要对外开放以实现信息交互，其暴露在外部环境中的特性使其更容易成为攻击目标。 数据接口的漏洞可能源于设计缺陷、配置错误或未及时更新安全补丁，攻击者可以利用这些漏洞绕过安全防护，直接获取敏感数据。此外，随着云计算和微服务架构的普及，数据接口的数量和复杂性不断增加，进一步加大了安全管理的难度。因此，企业需要加强对数据接口的安全防护，采用多层次的安全策略，确保数据在传输和共享过程中的安全性。 三是漏洞响应机制滞后加剧风险聚集传导。一方面，漏洞的发现和修复需要技术支持和时间，在此期间，数据泄露的风险将持续存在。由于数据接口的复杂性和多样性，漏洞的检测和修复往往需要专业的技术团队和大量的时间投入。 然而，在漏洞被发现之前，攻击者可能已经利用漏洞获取了大量敏感个人信息，给企