十起典型案例快评 —— 软件＂自带＂出境功能, 用户信息未评估即出境: 上海某科技公司案

网信执法十大典型案例快评系列第八篇

上海某科技有限公司自2022年以来, 持续通过其Windows端应用程序, 超范围收集用户使用其硬件产品的主机配置、使用时长、用户系统等信息, 并将上述信息和用户注册相关程序时填写的姓名、手机号、邮箱、生日、密码等信息, 传输至境外有关数据中心。该企业超出实现处理目的最小范围收集用户个人信息, 且在未依法申报数据出境安全评估的情况下, 向境外传输个人信息。属地网信办责令其改正, 予以罚款处罚。

总结而言: 一边超出最小范围收集、一边绕过出境评估——“前端多收、后端直发”跨境双违规。

误区一: “系统日志不属于个人信息。”主机配置、使用时长等叠加账号信息后具备识别性, 构成个人信息甚至敏感个人信息。

误区二: “已征得用户概括同意即可出境。”出境须告知境外接收方、处理目的、方式、种类等并取得单独同意, 且须履行相应的法定路径。

误区三: “出境安全评估是大企业的事。”《促进和规范数据跨境流动规定》明确门槛与豁免情形; 达不到豁免条件的处理者同样须走评估、认证或标准合同路径。

误区四: “出海业务就等于可以任意出境。”即使业务在境外, 境内收集个人信息出境仍受中国法律规制。

本案同时违反《个人信息保护法》《促进和规范数据跨境流动规定》《网络数据安全管理条例》《数据安全法》:

• 《个人信息保护法》第六条: 处理个人信息应当限于实现处理目的的最小范围, 不得过度收集。

• 《个人信息保护法》第三十八条: 个人信息处理者向境外提供个人信息的, 应当满足下列条件之一: 通过国家网信部门组织的安全评估; 按照规定经专业机构进行个人信息保护认证; 与境外接收方订立标准合同; 法律、行政法规或者国家网信部门规定的其他条件。关键信息基础设施运营者及处理个人信息达到规定数量的处理者, 向境外提供个人信息应当通过国家网信部门组织的安全评估。

• 《个人信息保护法》第三十九条: 因业务等需要向境外提供个人信息的, 应当向个人告知境外接收方等情况并取得单独同意。

• 《数据安全法》第三十一条: 关键信息基础设施运营者在境内运营中收集和产生的重要数据的出境管理, 适用《网络安全法》; 其他数据处理者在境内运营中收集和产生的重要数据的出境管理, 由国家网信部门会同有关部门制定办法。

• 《促进和规范数据跨境流动规定》《网络数据安全管理条例》《数据出境安全评估办法》等对申报路径、豁免情形作出具体规定。

依据《个人信息保护法》第六十六条等, 可对单位及直接负责的主管人员、其他直接责任人员予以罚款; 情节严重的, 可责令暂停相关业务、吊销许可证等。