广州某招聘平台长期存储已注销用户的上百万份简历且数据库公网暴露案

【案件背景】
2024年5月，安全研究人员发现某头部招聘平台的一个Elasticsearch数据库因配置错误暴露于公网，可在无任何认证的情况下直接检索。该数据库中包含上百万份求职者简历，其中有大量简历属于已注销账户的用户，最早可追溯到8年前。

【违法事实】
经广东省网信办和广东省通信管理局联合调查：一是严重违反数据存储安全义务——简历数据库既未加密存储，也未配置访问控制；二是违反注销后删除义务——平台在用户注销后未删除其个人信息，部分简历的更新时间甚至晚于用户注销时间，说明系统在注销后仍在持续采集数据；三是未设定简历信息的存储期限——求职简历包含大量敏感信息（教育经历、工作经历、联系方式等），但平台从未说明这些信息将保存多久；四是过时的简历数据可能含有不准确信息，在求职者不知情的情况下被雇主检索引用。

【处罚决定】
广东省通信管理局依据《个人信息保护法》《网络安全法》，处以人民币250万元罚款，责令立即断开公网数据库访问、对所有已注销用户数据进行全面清除，建立数据生命周期管理制度并对简历数据实施加密存储和严格的访问控制。

【典型意义】
一是简历是高度敏感的个人信息集合体，存储安全等级应与金融/医疗信息同级；二是数据库配置错误不是技术疏失的借口——含海量敏感信息的数据库暴露于公网是严重违反安全保障义务的行为；三是注销不应是形式操作，技术上的账户状态变更不能替代实质上的数据删除。