10 月底，湖南省网信办公布了一批医疗健康领域个人信息保护执法案例：专项行动期间查 78 条问题线索、现场检查 46 次、立案处罚 11 起。被曝光的问题里没有高深的黑客技术——防火墙端口配置不当、体检报告查询功能存在漏洞、数据库 root 用户用默认口令被外部爆破登录。同期，多地通信管理和网信部门还通报了 84 款违法违规收集使用个人信息的 App，其中不少是金融机构的官方应用。
如果您的企业收集用户信息、给客户提供线上系统，这轮执法传递的信号很直接：没有发生实际泄露，也可能被处罚；处罚依据是"有没有依法采取必要措施"，不是"有没有出事"。 按照合规经验，绝大多数被通报的问题都落在下面六项自查清单里。
六项自查，逐条对号
一、敏感数据有没有加密和访问控制。 《个人信息保护法》第五十一条要求个人信息处理者采取加密、去标识化等安全技术措施。患者病历、身份证号、金融账户这类敏感个人信息，访问权限要收敛到最小范围，不能全员可查。
二、默认口令和弱口令有没有清掉。 数据库、后台管理系统、云服务控制台的默认口令是执法检查里最常命中的问题，改造成本低，风险敞口却很大。
三、日志有没有留存。 数据库通用日志、防火墙流量日志是事后证明"采取了必要措施"的关键证据。没有日志，出了事说不清，没出事也证明不了防护在运转。
四、委托合同到期后，数据返还或删除了吗。 这是很多企业完全想不到的一条。《个人信息保护法》第二十一条明确规定：委托处理个人信息的合同不生效、无效、被撤销或者终止的，受托人应当将个人信息返还个人信息处理者或者予以删除，不得保留。通报里就有企业因为合同到期后继续留存委托方数据被处罚。
五、隐私政策有没有"列全"，共享有没有"单独同意"。 84 款被通报 App 的违规类型高度集中：隐私政策没有逐一列明第三方 SDK 收集使用个人信息的目的、方式、范围；向其他个人信息处理者提供信息时，未告知接收方身份、目的、方式并取得单独同意。这两条在《个人信息保护法》第十四条和第二十三条里有明确要求。
六、用户能不能方便地撤回同意。 未提供便捷的撤回同意途径，也是高频违规项。撤回入口要和同意入口一样容易找到。
处罚的梯度要知道
《个人信息保护法》第六十六条设定的责任是阶梯式的：一般违法，责令改正、警告、没收违法所得，拒不改正的处一百万元以下罚款；情节严重的，最高可处五千万元以下或者上一年度营业额百分之五的罚款，直接负责的主管人员还可能被禁业。行业里也叠加特别规定，比如《数据安全法》第四十五条对未履行数据安全保护义务的处罚。
以这批医疗领域案例为例，多数尚在警告加罚款的量级，但前提是问题在专项检查中被发现、企业还能配合整改。等出现实际泄露、造成危害后果，性质和金额都会上一个台阶。
给合规负责人的三个落地建议
第一，把"技术措施+管理制度"做成一套能留痕的东西：制度文件、访问权限台账、日志留存周期、口令更换记录。执法检查问的从来不是"你们重视吗"，而是"拿证据来"。
第二，盘点所有委托处理个人信息的合同，到期的逐个确认数据返还或删除，并留存书面确认记录。
第三，App 和小程序每次更新后重新过一遍隐私政策与权限清单，版本迭代是合规状态漂移的主要原因。企业内部拿不准的边界问题，可以借助外部审查。北京百环律师事务所为企业提供数据合规专项审查和常年法律顾问服务，这类自查清单的落地，通常需要法务和 IT 两条线一起收口。
常见问题
问：我们公司规模很小，只收集了少量客户信息，也会被查吗？
答：执法检查以业务形态为对象，不以规模划线。收集的信息量小，处罚力度可能较轻，但"未采取必要措施"的认定标准是一样的。
问：数据在自己服务器上，没用云服务，还需要做这些吗？
答：需要。自建服务器同样是个人信息处理活动，加密、访问控制、日志、口令管理等义务不因部署方式而免除，自建环境的默认口令问题反而更常见。
问：委托开发的小程序到期不续费了，里面的用户数据归谁？
答：委托方（企业）是个人信息处理者，开发方作为受托人，合同终止后应当返还或删除数据。企业作为委托方，也有义务主动确认对方处理完毕，并留存书面确认记录。
免责声明：本文内容仅供一般性参考，不构成正式法律意见。如遇具体法律问题，请咨询专业律师。