云南某科技公司「通讯录」APP大量公民个人信息泄露案

【案件背景】
2025年4月，云南公安机关网安部门在集中开展侵犯公民个人信息打击整治专项行动中，成功打掉一批从事个人信息非法交易的黑产团伙。在对犯罪团伙进行溯源分析时，公安部门发现大量被交易的公民个人信息的初始泄露源指向云南某科技有限公司开发的「通讯录」移动应用程序。经深入侦查，确认该公司开发的APP因内部管理混乱和数据保护措施的严重缺失，成为黑产链条的「数据源」。该案为公安部「护网—2025」专项行动第五号典型案例。

【违法事实】
公安机关查明云南某科技有限公司存在以下违法事实：
1. 缺乏用户身份信息核对机制：公司开发的「通讯录」APP在注册和使用环节没有建立任何有效的用户身份验证机制，既不要求手机号实名认证，也没有人机验证（验证码），任何人均可随意批量注册虚假账号并访问数据接口——这为黑产犯罪分子利用机器人程序批量爬取数据提供了极大便利；
2. 公民信息数据保护责任严重缺失：APP上传和存储了海量用户通讯录数据（包括姓名、电话号码、住址、邮箱、社交账号等），这些数据属于大量其他公民（通讯录中的联系人）的个人信息，但公司对海量数据的存储和使用没有任何安全保护措施——API接口无访问频率限制、数据传输无加密、数据库无分级管控；
3. 内部管理制度缺失：公司作为数据处理者，未按照《个人信息保护法》要求建立健全内部管理制度和操作规程，没有专门的数据安全岗位，没有对员工进行数据安全培训，没有建立数据访问审计日志，内部管理严重混乱；
4. 非法贩卖数据牟利：经查，部分被泄漏的用户数据实际上源自公司内部人员与外部黑产团伙相勾结，利用内部权限非法导出数据后在暗网上出售，公司对内部员工的异常数据访问行为毫无察觉和控制。

【处罚决定】
云南公安网安部门依据《个人信息保护法》《网络安全法》《数据安全法》相关规定：
1. 对云南某科技有限公司作出行政处罚并责令限期改正；
2. 对该公司实际负责人依法予以行政处罚——这是少数同时追究企业法人和个人「双罚」的典型案例；
3. 要求公司：建立用户实名认证和人机验证机制，实施API频率限制和全链路数据加密，建立数据安全管理制度和内审机制，对所有已泄露的数据进行风险评估并向可能受影响的用户发出警示通知。
非法获取并贩卖数据的犯罪团伙成员已另案处理。

【典型意义】
公安部的安全提示明确指出，网络运营者和数据处理者必须严格落实安全主体责任，健全完善内部管理制度，落实网络和数据最小访问原则和多因素认证措施。本案的核心教训在于：通讯录APP在收集大量第三方联系人的个人信息时，实际上承担着远超一般APP的数据保护责任——它不仅处理用户本人的信息，还处理用户通讯录中大量未明确同意的自然人的信息，这种「间接收集」导致的数据合规风险往往被企业严重低估。同时，本案的「双罚」——同时处罚公司和实际负责人——也传递了清晰的信号：数据安全不仅是公司的事，也是法定代表人和实际管理者的个人责任。