甘肃公安公布“护网—2026”网络安全行政执法十起典型案例：人脸识别被设为唯一通行方式、员工导出1.2万条信息等均被“一案双查”

案例一为嘉峪关某游乐园不履行个人信息保护义务案。执法检查发现，该游乐园运维管理的智能储物柜与入园闸机仅支持人脸识别一种认证方式，未向顾客提供任何替代通行方案；采集人脸信息时未履行告知义务，采集行为不具备特定目的和充分必要性，且未落实安全技术措施。属地公安机关已依法予以行政处罚，并监督其销毁擅自留存的人脸信息。这一案例直接指向《个人信息保护法》第26条关于公共场所图像采集与个人身份识别设备的限制，以及“最小必要”与“单独同意”的双重要求。

案例三为平凉某供热公司个人信息泄露案。该公司收集的公民个人信息发生泄露，经查系员工王某某、张某某等4人利用工作便利，将公司网络服务器内存储的1.2万余条个人信息导出后向他人非法提供。4人因侵犯公民个人信息犯罪被刑事打击，属地公安机关同步开展“一案双查”，对该公司不履行个人信息保护义务的违法行为予以行政处罚。“一案双查”意味着刑事追责不吸收单位责任，企业自身的内控缺失将被独立评价。

案例二为天水某电信公司营销中心及代理营业厅案。辖区某代理营业厅工作人员非法获取、出售他人手机验证码等个人信息，相关犯罪嫌疑人被刑事打击后，公安机关注重溯源治理，发现涉案代理营业厅及委托代理的电信公司营销中心未制定内部管理制度和操作规程、未定期对从业人员进行安全教育和培训、日常监督管理缺失，遂对两者一并行政处罚。该案对委托代理模式下的数据合规责任分配具有直接参考价值。

其余案例涉及甘南某物流商贸公司微信服务号挂载违法有害信息、不履行网络信息安全管理义务等情形。整体看，本批案例呈现两个清晰特征：一是执法对象从“直接侵权人”扩展到“管理失职的单位”，二是技术措施缺失本身即可独立构成违法事实，而不必等待泄露后果发生。对企业而言，人脸识别替代方案、导出行为留痕、外包与代理渠道的准入与培训，是三项成本最低、见效最快的整改优先级。