个人信息保护执法的实务指南

# 个人信息保护执法的实务指南

## 一、监管检查的程序规范

个人信息保护执法检查是行政机关依法履行监管职责的重要方式。《个人信息保护法》第四十条规定，国家网信部门负责统筹协调个人信息保护工作和相关监督管理工作。国务院有关部门依照本法和有关法律、行政法规的规定，在各自职责范围内负责个人信息保护和监督管理工作。

《个人信息保护法》第六十一条规定，履行个人信息保护职责的部门履行下列职责：开展个人信息保护宣传教育，指导、监督个人信息处理者开展个人信息保护工作；受理和处理与个人信息保护相关的投诉、举报；组织对应用程序等个人信息保护情况进行测评；调查、处理违法个人信息处理活动。

关于执法检查的程序要求，《行政处罚法》第五十四条规定，行政机关应当完善执法程序，明确执法具体程序，做到登记立案、调查取证、告知权利、法制审核、集体讨论、执行决定等法定程序不缺步骤，各步骤法定时限不逾越。

检查机关查阅、复制被检查单位的账簿、电子数据等资料，《个人信息保护法》第六十三条规定，履行个人信息保护职责的部门在履行职责中，发现个人信息处理活动存在较大风险或者发生个人信息安全事件的，可以按照规定的权限和程序对该个人信息处理者的法定代表人或者主要负责人进行约谈。

---

## 二、行政处罚的种类与裁量

违反个人信息保护规定的行为将受到行政处罚。《个人信息保护法》第六十六条规定，违反本法规定处理个人信息，或者处理个人信息未履行本法规定的个人信息保护义务的，由履行个人信息保护职责的部门责令改正，给予警告，没收违法所得，对应用程序责令暂停或者终止提供服务。

情节严重的处罚，《个人信息保护法》第六十六条第二款规定，情节严重的，由省级以上履行个人信息保护职责的部门责令改正，没收违法所得，并处五千万元以下或者上一年度营业额百分之五以下罚款，并可以责令暂停相关业务或者停业整顿、通报有关主管部门吊销相关业务许可或者吊销营业执照。

直接责任人员的处罚，《个人信息保护法》第六十六条第三款规定，对直接负责的主管人员和其他直接责任人员处十万元以上一百万元以下罚款，并可以禁止其在一定期限内担任相关企业的董事、监事、高级管理人员和个人信息保护负责人。

关于处罚裁量的原则，《行政处罚法》第五条规定，行政处罚遵循公正、公开的原则。设定和实施行政处罚必须以事实为依据，与违法行为的事实、性质、情节以及社会危害程度相当。

---

## 三、违规收集使用个人信息的认定

违规收集使用个人信息是常见的违法行为类型。《个人信息保护法》第六条规定，处理个人信息应当具有明确、合理的目的，并应当与处理目的直接相关，采取对个人权益影响最小的方式。收集个人信息，应当限于实现处理目的的最小范围，不得过度收集个人信息。

关于"一揽子授权"的效力，《个人信息保护法》第十六条规定，个人信息处理者不得以个人不同意处理其个人信息或者撤回同意为由，拒绝提供产品或者服务；处理个人信息属于提供产品或者服务所必需的除外。

强制索要用信息的认定，《个人信息保护法》第十六条规定，通过自动化决策方式向个人进行信息推送、商业营销，应当同时提供不针对其个人特征的选项，或者向个人提供便捷的拒绝方式。

App违规收集使用个人信息的认定，《移动互联网应用程序个人信息保护管理暂行规定》第六条规定，App不得因为用户不同意提供非必要个人信息，而拒绝用户使用其基本功能服务。

---

## 四、个人信息泄露的应急响应

发生或者可能发生个人信息泄露时，处理者应当立即采取补救措施。《个人信息保护法》第五十七条第一款规定，个人信息处理者应当立即采取补救措施，并通知履行个人信息保护职责的部门和个人。

关于泄露通知的内容，《个人信息保护法》第五十七条第二款规定，通知应当包括下列事项：泄露、丢失、篡改、非法获取个人信息的原因；泄露、丢失、篡改、非法获取的个人信息类型和数量；可能产生的危害；已采取的补救措施和个人可以采取的危害减损措施；个人信息处理者的联系方式。

违反泄露通知义务的法律责任，《个人信息保护法》第六十六条规定，违反本法规定处理个人信息，或者处理个人信息未履行本法规定的个人信息保护义务的，由履行个人信息保护职责的部门责令改正，给予警告，没收违法所得。

情节严重不通知的处罚，《个人信息保护法》第六十六条规定，个人信息处理者违反本法第五十七条规定不通知的，由履行个人信息保护职责的部门责令改正，可以根据情节单处或者并处警告、没收违法所得、罚款等处罚。

---

## 五、合规整改的要求与验收

监管部门可以要求违规企业进行整改。《个人信息保护法》第六十三条规定，履行个人信息保护职责的部门在履行职责中，发现个人信息处理活动存在较大风险或者发生个人信息安全事件的，可以按照规定的权限和程序对该个人信息处理者的法定代表人或者主要负责人进行约谈。

关于整改的内容与要求，《网络安全法》第六十条规定，网络运营者应当按照网络安全等级保护制度的要求，制定内部安全管理制度和操作规程；确定网络安全负责人，落实网络安全保护责任。

个人信息保护整改的常见措施，《个人信息保护法》第五十一条规定，个人信息处理者应当根据个人信息的处理目的、方式、种类以及对个人权益的影响、可能存在的安全风险等，采取下列措施：制定内部管理制度和操作规程；对个人信息实行分类管理；采取相应的加密、去标识化等安全技术措施。

整改验收的标准，《行政处罚法》第六十三条规定，行政机关应当建立健全对行政处罚的监督制度。公民、法人或者其他组织对行政机关作出的行政处罚，有权申诉或者检举；行政机关应当认真审查，发现行政处罚有错误的，应当主动改正。

---

## 参考来源

1. 《中华人民共和国个人信息保护法》
2. 《中华人民共和国网络安全法》
3. 《中华人民共和国行政处罚法》
4. 《移动互联网应用程序个人信息保护管理暂行规定》
5. 《App违法违规收集使用个人信息行为认定方法》