某头部招聘平台未经用户同意向关联企业共享求职者简历数据案（北京市网信办，2023年12月）

【案件背景】
某头部招聘平台（以下简称“涉案平台”）是国内最大的在线招聘服务提供商之一，拥有超过2亿注册用户和数千万份求职者简历数据。2023年6月，有用户向北京市网信办举报，称在涉案平台上投递简历后，频繁收到旗下关联招聘App和合作企业HR的骚扰电话，怀疑其个人信息被非法共享。经初步核查，北京市网信办联合市通信管理局于2023年8月对涉案平台启动立案调查。

【违法事实】
经调查查明：
（1）涉案平台在与用户签订的《用户服务协议》和《隐私政策》中，仅笼统表述“为向您提供更精准的职位推荐服务，我们可能将您的简历信息与关联公司及合作伙伴共享”，未逐一列明接收方名称、联系方式、处理目的、处理方式和个人信息的种类，不符合《个人信息保护法》第二十三条关于向其他个人信息处理者提供个人信息时应告知的要求。
（2）涉案平台向旗下12家关联企业（涵盖猎头服务、灵活用工、企业培训等业务线）和超过300家合作企业HR系统批量共享求职者简历数据，年均共享量超过800万条。其中，关联企业之间的共享在《隐私政策》中仅以“我们可能”的模糊表述呈现，未区分共享场景的差异，未获得用户的单独同意。
（3）涉案平台与分享接收方之间签订的《数据处理协议》存在严重缺陷：未明确数据处理的目的和方式、数据保存期限、以及接收方在合同终止后删除或返还数据的义务；未要求接收方在转委托处理（即合作企业将简历数据再交给其外包的招聘流程外包公司）时获得涉案平台的书面同意。
（4）调查还发现，涉案平台将在平台上公开的求职者简历（求职者选择“对所有招聘方可见”）以API接口形式实时同步给第三方背景调查服务商，用于候选人背景核验。但该使用目的超出了用户授权“用于招聘匹配”的范围，且未向用户告知。上述API接入行为构成委托处理，但涉案平台从未对该第三方的数据安全能力进行评估，也未签订数据委托处理协议。
（5）涉案平台在收到部分用户注销账号的请求后，未及时通知所有接收方删除对应的个人信息。

【处罚决定】
北京市互联网信息办公室依据《个人信息保护法》第六十六条，对涉案平台作出以下行政处罚：
（一）责令立即改正违法行为，暂停向关联企业和合作企业的简历数据共享功能，直至完成合规整改；
（二）处人民币80万元罚款；
（三）对直接负责的主管人员（首席数据官）处人民币8万元罚款；
（四）责令在收到处罚决定书之日起30日内，完成对所有共享接收方的全面清查，与不符合要求的接收方终止合作。
同时，北京市网信办向涉案平台下达了《个人信息保护合规整改通知书》，要求其在90日内完成以下整改：（1）重构用户同意机制，对每一类共享场景分别设置独立的同意开关；（2）完善共享方管理，与所有接收方重新签订符合法律要求的数据处理协议；（3）建立共享数据流转的全链路记录系统；（4）在收到用户行权请求后48小时内同步通知所有接收方。

【典型意义】
本案是《个人信息保护法》实施以来，网信部门对招聘行业个人信息共享违规行为作出的较具代表性的行政处罚案件。其典型意义在于：
第一，本案明确了“向关联企业共享”不等同于“内部使用”。实践中许多大型企业集团将集团内部的个人信息共享视为“内部数据流通”而规避法律义务，本案的处罚决定确立了关联企业之间共享个人信息同样须遵守《个人信息保护法》第二十三条的告知同意规则的执法立场。
第二，本案对共享接收方管理提出了精细化要求。处罚决定不仅要求签订数据处理协议，还要求逐一列明接收方信息、定期审计、在转委托时获得原处理者同意——这对企业间的数据共享和委托处理实践产生了深远影响。
第三，本案揭示了“公开简历”不等于“无限制使用”，即使用户选择公开简历，处理者仍须在授权范围内使用，超出目的的使用构成违法。
第四，本案关于用户行权后通知接收方删除的义务要求，为企业建立全链路数据生命周期管理机制提供了明确的合规指引。