违规行为：某云科技公司为九所学校提供的"智慧校园系统"未取得监护人单独同意，非法收集学生人脸信息且未加密存储，系统存在未授权访问漏洞1。
处罚结果：涉事企业及学校被行政警告，责令删除数据并整改1。
整改措施：拆除全部人脸识别设备，建立"家长书面授权+定期审计"机制，数据存储期限压缩至30天1。
风险警示：教育机构需特别注意，即使临时采集人脸信息（如课堂专注度分析），也需取得监护人"逐项确认"同意，且不得用于与教学无关的模型训练6。
医疗行业：某医院信息泄露案违规行为：实习医生违规下载3万条患者人脸信息，系统权限管理混乱14。
处罚结果：罚款120万元，院长被约谈，系统整改期间暂停使用14。
整改效果：部署权限分级系统（医生仅能访问本科室患者数据），日志留存从3个月延长至6个月，整改后6个月内未发生安全事件14。
在线教育平台：未成年人数据处理违规案违规行为：未取得监护人单独同意，采集5万名学生面部数据用于"专注度分析"模型训练，并跨境传输至境外服务器6。
处罚结果：罚款1200万元，数据跨境传输通道被关闭6。
整改措施：采用联邦学习技术实现"数据不出校"建模，家长端增加"实时查看数据用途"功能6。
二、自查清单（详细版）数据管理分项检查存储期限
合规要求：营销场景≤90天，金融风控≤1年，医疗档案按《病历管理规定》保存。
检查方法：查看数据库清理日志，确认是否设置自动删除机制。
数据拆分
合规要求：不得通过子公司/异地存储拆分总量规避备案（合并计算标准：同一集团控制下所有主体）。
检查方法：汇总各分支机构存储量，使用备案阈值计算器验证。
加密措施
合规要求：传输采用TLS1.3，存储使用国密SM4算法，密钥每季度轮换。
检查方法：检查加密配置文件，使用NIST加密验证工具测试强度。
三、第三方评估要点资质审核：云服务商需提供《个人信息保护认证证书》（认证机构需在CNCA认证目录可查）
渗透测试：每年至少1次，测试项需包含"越权访问""SQL注入"等10类高危漏洞（参考OWASP Top 10）
审计报告：第三方需出具《安全评估报告》，包含"活体检测误识率≤0.001%"等具体指标10
技术措施检查已部署联邦学习/同态加密等隐私计算技术
活体检测支持防3D面具攻击（防御率≥99.5%）10
异常操作监控系统（如单次下载超100条数据自动告警）