经典案例

湖南某科技公司内网数据库暴露公共互联网+未建立网络安全和数据安全管理制度导致大量用户数据泄露风险案

处罚单位：国家互联网信息办公室

被处罚单位：湖南科技公司

北京某科技公司App超范围收集个人信息案

处罚单位：北京市互联网信息办公室

被处罚单位：北京某科技有限公司

App超范围收集用户通讯录、短信等个人信息，在用户拒绝授权后仍通过其他方式收集，违反最小必要原则和合法基础要求。

英国某养老院Director故意阻止数据主体访问请求被刑事定罪案（英国ICO，2025年9月）

处罚单位：英国信息专员办公室(ICO)

被处罚单位：英国某养老院Director故意阻止

SHEIN用户拒绝后仍投放Cookies案

处罚单位：法国国家信息与自由委员会(CNIL)

被处罚单位：Roadget Business Pte. Ltd. / SHEIN集团

在用户明确拒绝Cookies后仍在用户设备上设置追踪型Cookies，完全无视用户拒绝的意思表示，严重违反GDPR关于同意的合法基础要求。

谷歌未经有效同意设置Cookies案

处罚单位：法国国家信息与自由委员会(CNIL)

被处罚单位：Google LLC / Google Ireland Limited

在未取得用户有效同意的情况下设置追踪Cookies，用户拒绝路径相比接受路径更复杂，损害同意的自愿性，违反GDPR和电子隐私指令关于同意的合法基础规定。

山东某医学检验公司患者诊疗数据泄露案

处罚单位：属地网信部门

被处罚单位：山东某医学检验有限公司

未对患者敏感个人信息采取加密等保护措施，数据库存在高危漏洞暴露于公网，未建立数据安全管理制度

北京某跨国科技企业数据出境三路径全未走+未加密+未单独同意综合案

处罚单位：属地网信办

被处罚单位：北京跨国科技企业

美国国防承包商MORSE Corp长期未满足NIST数据安全标准、虚报安全评估分数违反《虚假申报法》支付460万美元和解金案

处罚单位：美国司法部(DOJ)

被处罚单位：美国国防承包商MORSE Corp长期

广东某跨境电商App未向用户告知数据出境事项且未取得单独同意被通报整改案

处罚单位：属地网信办

被处罚单位：广东跨境电商

南京某科技公司APP超范围收集个人信息案

处罚单位：江苏省互联网信息办公室

被处罚单位：南京某科技有限公司

App超出必要范围收集精确位置和相册数据，以不授权则无法使用基本服务的方式强制用户同意，违反合法基础要求。