生活中，可能侵犯个人信息权益的4个行业（附案例汇编）

前言
从《网络安全法》《民法典》的颁布实施，到《数据安全法》《个人信息保护法》的出台，在数字经济发展和法治建设进程中，我国个人信息保护法律法规不断发展完善。文章结合4类典型案例，举例说明可能侵犯个人信息权益的4个行业，以解释个人信息的范围、敏感个人信息的范围、个人信息的处理原则、如何获得用户授权等在个人信息保护方面的常见问题。并为企业和个人分别在合规管理和保护意识方面，提出了如何落实个人信息保护的合规建议。
✨温馨提示：
文末附《个人信息保护纠纷案例汇编》PDF版（近500页），全面且系统，如有需要，可自行获取！
01 互联网应用软件
1.1 监管情况
近日，工业和信息化部信息通信管理局通报了2023年第1批共46款侵害用户权益的移动互联网应用程序（APP）及第三方软件开发工具包（SDK）。这46款被责令限期整改的APP（SDK），涉及的问题主要包括3个方面：信息明示、个人信息收集和权限索取。
在信息明示方面，涉及的问题主要包括：应用分发平台上的APP信息明示不到位，收集个人信息明示、告知不到位等。在个人信息收集方面，涉及的问题主要包括：超范围收集个人信息，违规收集个人信息，强迫收集非必要个人信息等。在权限索取方面，涉及的问题主要包括：欺骗误导强迫用户，APP强制、频繁、过度索取权限，违规使用第三方服务等。
1.2 焦点问题
（1）APP如何合法合规的明示信息
①及时公布。APP应当制定用户个人信息收集、使用的规则，并在其服务场所、网站等及时予以公布。
②明确告知。APP收集、使用用户个人信息的，应当明确告知用户收集、使用信息的目的、方式和范围，查询、更正信息的渠道以及拒绝提供信息的后果等事项。
③语言清晰。APP在处理用户的个人信息前，应当以清晰易懂的语言真实、准确、完整地向用户告知个人信息处理者的名称或者姓名和联系方式，个人信息的处理目的、处理方式，处理的个人信息种类、保存期限等事项。
（2）APP如何合法合规的处理个人信息
①遵守收集原则。APP收集、使用用户的个人信息，应当遵循合法、正当、必要和诚信的原则，限于实现处理目的的最小范围，不得过度收集个人信息。
②严格保密用户信息。APP及其工作人员对在提供服务过程中收集、使用的用户个人信息应当严格保密，不得泄露、篡改或者毁损，不得出售或者非法向他人提供。
③以服务范围为限。APP不得收集超过其服务范围所必需的用户个人信息，或将信息用于提供服务之外的目的；不得违反法律、行政法规的规定和双方的约定收集、使用个人信息；不得以欺骗、误导或者强迫等方式收集、使用其用户的个人信息。
（3）APP如何合法合规的获得用户授权
①获得正式授权。未经用户同意，APP不得收集、使用用户个人信息。同时，基于用户同意处理其个人信息的，该同意应当由个人在充分知情的前提下自愿、明确作出。
②敏感信息单独授权。敏感个人信息一旦泄露或者非法使用，容易导致用户的人格尊严受到侵害或者人身、财产安全受到危害。因此，APP处理敏感个人信息应当取得用户的单独同意；法律、行政法规规定处理敏感个人信息应当取得书面同意的，从其规定。
③处理未成年人信息需要监护人同意。不满十四周岁未成年人的个人信息属于敏感个人信息，与一般的敏感个人信息不同，未成年人的信息作为一类特殊的敏感个人信息，APP在对其进行处理时，应当取得未成年人的父母或者其他监护人的同意。
1.3 监管机构观点
根据《个人信息保护法》《网络安全法》《电信条例》《电信和互联网用户个人信息保护规定》等法律法规，若APP未合法合规的明示信息、违法收集个人信息、未获得或违法获得用户授权，将有可能被要求责令限期改正，同时予以警告并处罚款；构成犯罪的，还将依法追究刑事责任。
02 诊疗机构
2.1 基本案情
2014年11月30日，大帅到卫生室就诊，大帅将其本人、妻子、儿子、女儿四人的医保卡交给该卫生室的负责人刷卡，该卫生室在录入信息时将程某某等四人的疾病名称错误填录为“急性丁型病毒性肝炎”，导致四人无法购买人寿保险。
2020年8月26日，大帅等四人向法院提起诉讼，请求：由该卫生室在公开报刊上澄清并修正涉案事实，赔偿精神损失、误工费，并登报道歉以消除社会影响。
2.2 焦点问题
（1）诊疗信息是否属于敏感个人信息
根据我国《个人信息保护法》的规定，敏感个人信息是一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括医疗健康等信息，以及不满十四周岁未成年人的个人信息。
本案中，四名原告的诊疗信息是医疗健康信息，属于敏感个人信息，诊疗信息被错误录入为“急性丁型病毒性肝炎”。卫生室作为患者的个人信息处理者，应当遵守个人信息的处理规则，合法处理患者的个人信息。
（2）公民享有个人信息更正权
根据我国《个人信息保护法》的规定，个人发现其个人信息不准确的，有权请求个人信息处理者予以更正。个人请求更正其个人信息的，个人信息处理者应当对其个人信息予以核实，并及时更正。
本案中，大帅准备为家人购买保险时，发现自己及家人的诊疗信息中登记患有“急性丁型病毒性肝炎”，导致无法购买保险。根据四名原告从社保局打印的资料显示，是由于被告卫生室错误录入诊疗信息，致使四名原告个人信息产生虚假并被录入医疗大数据系统。卫生室作为个人信息处理者，四名原告有权要求卫生室将错误诊疗信息予以更正。
2.3 法院观点
法院认为卫生室在未进行充分诊断的基础上即将大帅等四人的疾病录入为急性丁型病毒性肝炎，系错误录入，具有过错。
故法院依法作出判决，判令卫生室在公开报刊上刊登其于2014年11月30日为原告程云就诊时将四名原告的医保卡及医保系统中疾病名称错误录入为急性丁型病毒性肝炎的情况予以澄清，同时在该报上向四名原告赔礼道歉。
03 金融服务业
3.1 基本案情
银行收集、储存贷款人提交的个人信息，若贷款人逾期未偿还贷款，银行将通过第三方进行催收。
大帅逾期未还款，大帅本人及其亲属、同事、朋友频繁收到自称是银行员工或陌生人的催收信息。催收方能够提供大帅在银行的个人信息、借款合同号、应还款金额及还款账户等信息，还制作了诋毁大帅的图文信息，并威胁大帅若不还款则群发该图文信息给大帅通讯录所有人。
3.2 焦点问题
（1）金融信息是否属于个人信息
根据我国《个人信息保护法》的规定，个人信息是指以电子或其他方式记录的与已识别或可识别的自然人有关的各种信息，但不包括匿名化处理后的信息。例如：自然人的姓名、电话号码、电子邮箱、银行账户信息等。
本案中，银行向第三方催款机构提供的大帅姓名、电话均属于个人信息，借款合同号、应还款金额及还款账户等信息能够识别到大帅个人，亦属于个人信息。
（2）向其第三方提供个人信息的前提
个人信息处理者向其他个人信息处理者提供其处理的个人信息的，应当向个人告知接收方的名称或者姓名、联系方式、处理目的、处理方式和个人信息的种类，并取得个人的单独同意。
本案中，银行未向大帅告知第三方催款机构的相关信息，亦未取得大帅的单独同意。银行的这一行为属于违法处理杨某个人信息的情况。银行作为个人信息处理者，依法应当为自己的违法行为承担责任。
3.3 法院观点
法院认为，银行未依法保障大帅的个人信息安全，向第三方催款机构违法提供大帅的个人信息，给大帅造成了巨大精神压力，构成精神损害。
故法院依法作出判决，判令银行向大帅书面赔礼道歉，并赔偿精神损害抚慰金。
04 通信服务业
4.1 基本案情
大帅在通信公司办理了手机卡后，多次接到该公司业务员打来的推销电话。
大帅两次拨打通信公司的客服电话，对多次接到推销电话的情况进行投诉，但并未得到通信公司的回复。
随后，大帅通过工业和信息化部政务平台“电信用户申诉受理平台”进行申诉，但依旧无法与通信公司达成调解。
于是，大帅向人民法院提起了诉讼，请求通信公司承担侵权责任。
4.2 焦点问题
（1）电话推销是否侵犯公民隐私权
我国《民法典》的总则编和人格权编均对隐私权和个人信息保护作出专门的规定，增强并充实了隐私权和个人信息保护的规则。
尤其是在《民法典》第一千零三十三条中，对以电话、短信等方式侵扰私人生活安宁的推销方式，作出明确限制，即在无法律规定或未获得公民明确同意时，任何人不得以前述行为过度推销。
本案中，通信公司在大帅明确表示异议的情况下，多次向大帅进行电话推销，侵扰了大帅的私人生活安宁，构成了对大帅隐私权的侵犯，通信公司依法应当向大帅承担侵权责任。
（2）公民的隐私权与个人信息权
在我国《民法典》中，明确了隐私权和个人信息的定义，进一步强化了对隐私权和个人信息的保护。根据我国《民法典》的规定，个人信息中的私密信息，同样适用有关隐私权的规定。隐私是自然人的私人生活安宁和不愿为他人知晓的私密空间、私密活动、私密信息。
本案中，通信公司的员工通过不断拨打大帅的手机号，向大帅进行产品推销，通信公司的这一行为，既违法处理了大帅的个人信息，也侵害了大帅的隐私权。
4.3 法院观点
法院认为，通信公司在大帅明确表示异议的情况下，多次向大帅进行电话推销，侵害了大帅的隐私权和个人信息合法权益。
故法院依法作出判决，判令通信公司未经大帅的同意，不得向其拨打营销电话，并赔偿大帅交通费用782元、精神损害抚慰金3000元。
05 合规建议
5.1 企业应当合规处理用户的个人信息
（1）落实用户的个人信息权利
公民对其个人信息的处理享有知情权、决定权，有权限制或者拒绝医疗机构对其个人信息进行处理。用户有权向个人信息处理者要求查阅、复制其个人信息。用户请求查阅、复制其个人信息的，个人信息处理者应当及时提供。用户发现其个人信息不准确或者不完整的，有权请求个人信息处理者更正、补充。用户请求更正、补充其个人信息的，个人信息处理者应当对其个人信息予以核实，并及时更正、补充。用户对其个人信息还享有删除权。企业作为个人信息处理者，应当对用户积极履行个人信息保护义务，落实用户的个人信息权利。
（2）定期开展个人信息保护影响评估
我国《个人信息保护法》规定了必须在事前进行个人信息保护影响评估的几类情形，其中就包括处理敏感个人信息的情况。若企业处理的用户个人信息中，包含敏感个人信息，则必须在处理用户个人信息之前，及时开展个人信息保护影响评估。结合《个人信息保护法》中关于定期对处理个人信息遵守法律、行政法规情况进行合规审计，以及个人信息保护影响评估报告和处理情况记录应当至少保存三年的规定，建议企业定期开展个人信息保护影响评估。
（3）构建个人信息保护合规管理体系
为了保护用户的个人信息权益，企业必须构建个人信息保护合规管理体系。构建个人信息保护合规管理体系，能够提供一个完整的系统，以便于在个人信息收集程序的设计、实施、检测、评估和改进中能够利用政策、实践、控制和技术工具等。构建个人信息保护合规管理体系，通过对人员的技能、资质等培训，提高工作人员技术，完善管理系统、治理框架等工作流程。构建个人信息保护合规管理体系包括五个步骤，预备阶段、组织阶段、开发与执行阶段、管理与维护阶段、评估与改进阶段。
5.2 公民应当重视个人信息保护
个人信息，关系到每个人的合法权益和人身财产安全。作为公民，目前之所以出现大量侵犯个人信息权益的案件，是因为大家法律意识淡薄，不够重视隐私权、个人信息保护。只有我们都形成隐私权、个人信息保护意识，强化信息安全意识，筑牢公民个人信息安全防护墙，才能推动整个社会对隐私权、个人信息保护的敬畏。