處理已公開個人信息，哪些情形違法違規？國家網信辦答疑

新京報貝殼財經訊（記者程靚）8月12日，國家互聯網信息辦公室（以下簡稱“國家網信辦”）發布個人信息保護政策法規問答。

在處理已公開的個人信息方面，國家網信辦表示，《個人信息保護法》第二十七條規定，“個人信息處理者可以在合理的范圍內處理個人自行公開或者其他已經合法公開的個人信息；個人明確拒絕的除外。個人信息處理者處理已公開的個人信息，對個人權益有重大影響的，應當依照本法規定取得個人同意。”《個人信息保護合規審計管理辦法》附件《個人信息保護合規審計指引》第十二條對違法違規處理已公開個人信息情形作了細化：（一）向已公開個人信息中的電子郵箱、手機號等發送與其公開目的無關的商業信息；（二）利用已公開的個人信息從事網絡暴力、傳播網絡謠言和虛假信息等活動；（三）處理個人明確拒絕處理的已公開個人信息；（四）對個人權益有重大影響，未取得個人同意；（五）收集、留存或處理已公開個人信息的規模、時間或使用目的超出合理范圍。

國家網信辦提示，導致個人信息泄露的常見原因包括：一是個人信息明文存儲和傳輸，未采取適當的加密、去標識化等安全技術措施；二是存儲個人信息的信息系統、數據庫等未采取有效安全措施，如使用弱口令、無登錄驗證措施；三是可通過互聯網訪問的數據接口未采取有效的身份驗證措施；四是互聯網網站頁面上包含網站關聯的信息系統、數據庫的登錄賬號與口令等。《個人信息保護法》第五十一條規定，“個人信息處理者應當根據個人信息的處理目的、處理方式、個人信息的種類以及對個人權益的影響、可能存在的安全風險等，采取下列措施確保個人信息處理活動符合法律、行政法規的規定，并防止未經授權的訪問以及個人信息泄露、篡改、丟失：（一）制定內部管理制度和操作規程；（二）對個人信息實行分類管理；（三）采取相應的加密、去標識化等安全技術措施；（四）合理確定個人信息處理的操作權限，并定期對從業人員進行安全教育和培訓；（五）制定并組織實施個人信息安全事件應急預案；（六）法律、行政法規規定的其他措施。”

編輯 楊娟娟

校對 柳寶慶