国家网信办发布近期网络安全、数据安全、个人信息保护等领域执法典型案例：10起案件覆盖人脸信息、违法出境与AI生成内容标识

本批案例最突出的特征是执法触角同时压向传统网络安全与新型AI合规。重庆某置业公司在办公场所安装10余处图像采集设备，收集存储客户人脸信息5000余条用于身份识别与中介匹配营销，未真实准确完整告知且未取得单独同意，被警告并罚款；浙江某运动管理App以“防止作弊”为由强制一次性索取定位、电话、存储权限，未向不同场景用户提供差异化功能选择，构成超范围收集非必要个人信息。

上海某科技公司自2022年起通过Windows端应用程序超范围收集用户主机配置、使用时长、系统信息，连同注册时填写的姓名、手机号、邮箱、生日、密码一并传输至境外数据中心，超出最小范围且未依法申报数据出境安全评估，被罚款——这是本批案例中唯一一起违法出境案件，与网信办同月发布的数据出境政策法规问答形成呼应。

AI合规方面出现两类新型案件：四川某公司微信小程序提供AI文本对话与图片生成，未添加显式标识、未在文件元数据中添加隐式标识，被责令下线；江苏某科技公司以“API中转站”方式调用多个大模型接口提供对话问答服务却未开展安全评估，被责令改正、从严处理责任人。

传统安全义务方面，河南某医院体检系统弱口令漏洞整改复核后仍存在700个安全漏洞（含73个高危），安全设备因授权过期失效；安徽某数据产业公司在开发中沿用存在未授权访问漏洞的ES开源版本且未删除测试数据，致2400余份审计报告、合同、会议纪要被窃。两地网信办均对企业与直接负责的主管人员“双罚”。

值得企业注意的是，本批案例中“未造成实际泄露但存在泄露风险”即被处罚的情形占相当比例。监管逻辑正从结果归责转向过程合规审查：漏洞是否修复、权限是否加密、标识是否添加、评估是否开展，均成为独立处罚事由，而非以损害后果为前提。