北京某知名互联网平台未按条例规定进行数据安全风险评估+未取得单独同意向第三方提供位置信息案

【案件背景】
2025年2月，国家互联网信息办公室公开通报了《网络数据安全管理条例》正式施行后的首批典型处罚案例。某知名互联网平台因未按规定进行数据安全风险评估、未取得用户单独同意即向第三方提供个人位置信息等多项违规行为被查处。该平台拥有数亿活跃用户，日处理海量个人位置、行为偏好等数据。

【违法事实】
经网信办调查认定，该平台存在三大违规行为：一是违反风险评估义务——《网络数据安全管理条例》第29条规定，重要数据的处理者应当每年自行或者委托第三方对其数据安全保护情况进行风险评估，并向有关主管部门报送风险评估报告。该平台处理的数据规模远远超过'重要数据处理者'的门槛，但未建立年度风险评估机制，也未向主管部门报送任何风险评估报告；二是违反单独同意原则——该平台在用户协议中以'默认勾选'方式获取位置信息共享授权，未单独弹窗提示用户并获得明示同意，属于'捆绑同意'，违反了《个人信息保护法》第23条关于向第三方提供个人信息须取得单独同意的规定；三是未及时修复已知的API接口漏洞，导致用户数据暴露于被爬取和窃取的风险中。

【处罚决定】
国家网信办依据《网络数据安全管理条例》《个人信息保护法》《数据安全法》等法律法规，对该平台处以责令限期整改并罚款人民币500万元的行政处罚，相关责任人被约谈。要求其在60日内完成风险评估体系建设并提交首份年度风险评估报告。

【典型意义】
本案是《网络数据安全管理条例》施行后的首个执法标志性案例，具有三方面典型意义：一是首次将'年度风险评估'确立为大型互联网平台的刚性合规义务——风险评估不是一次性的合规动作，而是需要制度化、常态化执行；二是明确了'单独同意'与'捆绑同意'的界限——以默认勾选、一揽子同意方式获取用户对数据共享的授权均属违法；三是释放了精准执法的信号——500万元罚款对于大型平台而言虽非最高，但执法指向精准、违法定性明确，预示着数据安全风险评估的监管进入精细化阶段。