河北固安县网信办对某房地产公司作出行政警告：信息系统API接口存在未授权访问风险，未履行个人信息保护义务

近日，河北省廊坊市固安县互联网信息办公室对某房地产有限公司就其信息系统未履行个人信息保护义务的行为，依法作出行政警告处罚并责令限期整改。经查，该系统负责人未严格履行个人信息保护义务，对系统疏于管理，技术防护措施薄弱，导致该信息系统API接口存在未授权访问风险，违反了《中华人民共和国个人信息保护法》《中华人民共和国网络安全法》等法律法规。

固安县互联网信息办公室在发现风险后第一时间启动处置流程，严肃指出其违法违规事实，明确相关法律责任，责令其全面深入整改，并给予行政警告处罚。下一步，该办将加强与公安部门的联动，持续加大网络安全执法力度，强化日常巡查和监管，依法查处违法违规行为，压实属地企业网络安全主体责任。

该案的违法事实认定值得关注。执法机关并未以是否发生个人信息泄露后果作为处罚前提，而是以API接口存在未授权访问风险这一事实状态，认定其未履行个人信息保护义务。这意味着《个人信息保护法》第五十一条要求的采取相应的加密、去标识化等安全技术措施，在实践中被解释为一种事前预防义务，而非以损害结果为要件的责任。技术防护薄弱本身即构成可罚事由。

对房地产开发、物业服务、房产中介等掌握大量业主与客户身份、联系方式、房产信息的行业而言，该案的直接警示在于：业务系统对外提供的API接口需要纳入安全基线管理，包括访问鉴权、最小权限、调用日志与定期审计。县级网信部门已具备独立开展个人信息保护执法并作出行政处罚的能力，属地企业不应再以规模小、无泄露作为免责理由，而应将接口安全作为数据合规自查的固定项目。