一、知网（CNKI）被罚情况

2023年9月6日16时50分，中国网信网发布《国家互联网信息办公室对知网（CNKI）依法作出网络安全审查相关行政处罚》的通知，全文内容如下：

根据网络安全审查结论及发现的问题和移送的线索，国家互联网信息办公室依法对知网（CNKI）涉嫌违法处理个人信息行为进行立案调查。经查实，知网（CNKI）主要运营主体为同方知网（北京）技术有限公司、同方知网数字出版技术股份有限公司、《中国学术期刊（光盘版）》电子杂志社有限公司三家公司，其运营的手机知网、知网阅读等14款App存在违反必要原则收集个人信息、未经同意收集个人信息、未公开或未明示收集使用规则、未提供账号注销功能、在用户注销账号后未及时删除用户个人信息等违法行为。

9月1日，国家互联网信息办公室依据《网络安全法》《个人信息保护法》《行政处罚法》等法律法规，综合考虑知网（CNKI）违法处理个人信息行为的性质、后果、持续时间，特别是网络安全审查情况等因素，对知网（CNKI）依法作出网络安全审查相关行政处罚的决定，责令停止违法处理个人信息行为，并处人民币5000万元罚款。

国家互联网信息办公室将继续坚持统筹发展和安全，坚持依法管网，强化网络安全、数据安全和个人信息保护等领域执法，为企业营造健康规范有序的发展环境，切实维护国家网络安全、数据安全和公民合法权益。

该处罚决定公布后，知网（CNKI）紧随发表声明，表示“诚恳接受，坚决服从，今后将努力努力为社会提供更加安全、合规的服务，以实际行动切实维护国家网络数据安全”[1]。

图：知网回应

二、知网因违反《反垄断法》规定被罚回顾

2022年5月，市场监管总局依据《反垄断法》对知网涉嫌实施垄断行为立案调查。12月26日，市场监管总局依法对知网作出行政处罚决定，责令知网停止违法行为，并处以其2021年销售额17.52亿元5%的罚款，计8760万元。然而，2022年知网的净利润仅有6000万元[2]。可见，时隔9个月的第二次处罚无疑对知网的财务造成了又一重击。

三、对本次知网所受处罚行为的违法性分析

根据网信办公开的行政处罚决定，知网及其相关公司的违法行为包括：（1）违反必要原则收集个人信息；（2）未经同意收集个人信息；（3）未公开或未明示收集使用规则（4）未提供账号注销功能和（5）在用户注销账号后未及时删除用户个人信息等。以下将对前述违法行为所违反的法律规定以及个人信息处理者应当注意的问题进行简要介绍。

（一）违法性分析

1.《个人信息保护法》第五条规定：“处理个人信息应当遵循合法、正当、必要和诚信原则，不得通过误导、欺诈、胁迫等方式处理个人信息。”该条规定中，“合法”指的是处理者应当遵循《民法典》《网络安全法》《数据安全法》《个人信息保护法》等基础法律规范的相关规定；“正当”指的是处理者在处理个人信息的目的和手段上均应当符合社会公众的一般期待以及公序良俗的要求；“必要”指的是在从事某一特定活动时可以收集、处理也可以不收集、处理个人信息时，要尽量不收集、处理；在必须使用并征得权利人许可时，要尽量少地进行收集、处理。“诚信”指的是处理者对个人保有基本的善意，尊重个人的合理信赖，在价值取向上优先保护个人信息权益，恪守个人信息处理活动的规范化。

通过对比知网今年与去年的“使用协议、隐私政策”不难发现，知网此前处理用户个人信息时并没有遵循“必要原则”，因而违反了《个人信息保护法》第五条规定。实际上，上述四个原则中，“必要原则”的“限度”把控难度最大。因此，企业在处理个人信息时，应当根据业务流程等方面仔细研究确定需要处理的数据，避免因处理不必要的数据引起违规问题。例如，在论坛注册账号时，除非有正当理由，否则不得要求用户提供家庭地址和手机号码等信息；在安装手机软件时，若该软件只服务于地图位置搜索，则不应当要求用户提供不必要的短信内容信息。

图：与修改前相比，知网最新的“使用协议、隐私政策”对个人信息的采集数量明显减少[3]

2.《个人信息保护法》第七条规定：“处理个人信息应当遵循公开、透明原则，公开个人信息处理规则，明示处理的目的、方式和范围。”个人信息处理者为满足该条规定，应当确保个人信息处理规则包含以下内容，并在明显位置处确保用户能够方便查看：

（1）以清单形式列明所收集的个人信息及其处理目的、方式和范围；

（2）明确个人信息存储期限或者存储期限的确定方法、到期后的处理方式以及确保存储期限为实现处理目的所必要的最短时间；

（3）明确个人查阅、复制、加工、转移、更正、补充、删除、公开、限制处理个人信息以及注销账号、撤回同意的途径和方法；

（4）向第三方提供个人信息时，明确向个人告知接收方的名称或者姓名、联系方式、处理目的、处理方式和个人信息的种类，并取得个人的单独同意；

（5）法律、行政法规规定的其它事项。

3.《个人信息保护法》第十三条规定：“符合下列情形之一的，个人信息处理者方可处理个人信息：

（1）取得个人的同意；

（2）为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需；

（3）为履行法定职责或者法定义务所必需；

（4）为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需；

（5）为公共利益实施新闻报道、舆论监督等行为，在合理的范围内处理个人信息；

（6）依照本法规定在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息；

（7）法律、行政法规规定的其他情形。

依照本法其他有关规定，处理个人信息应当取得个人同意，但是有前款第二项至第七项规定情形的，不需取得个人同意。”

个人信息处理者为满足该法条第（1）款的合规要求，应当注意至少做到以下几点：

（1）个人的同意在个人信息主体充分知情的前提下自愿、明确作出；

（2）个人信息的处理目的、处理方式和处理的个人信息种类发生变更的，需要重新取得个人同意；

（3）为个人提供便捷的撤回同意的方式；

（4）对个人同意的操作进行记录；

（5）不得以个人不同意处理其个人信息或者撤回同意为由，拒绝提供产品或者服务，但处理个人信息属于提供产品或者服务所必需的除外。

4.《个人信息保护法》第四十七条规定：“有下列情形之一的，个人信息处理者应当主动删除个人信息；个人信息处理者未删除的，个人有权请求删除：

（1）处理目的已实现、无法实现或者为实现处理目的不再必要；

（2）个人信息处理者停止提供产品或者服务，或者保存期限已届满；

（3）个人撤回同意；

（4）个人信息处理者违反法律、行政法规或者违反约定处理个人信息；

（5）法律、行政法规规定的其他情形。法律、行政法规规定的保存期限未届满，或者删除个人信息从技术上难以实现的，个人信息处理者应当停止除存储和采取必要的安全保护措施之外的处理。”

为满足该条规定的合规性，个人信息处理企业应当确保在上述情形出现后及时删除个人信息或停止除存储和采取必要的安全保护措施之外的处理。

5.第五十条规定：“个人信息处理者应当建立便捷的个人行使权利的申请受理和处理机制。拒绝个人行使权利的请求的，应当说明理由。”由于用户个人有权注销个人账户，撤回信息处理同意，因此个人信息处理者应当建立个人行使权利的申请受理和处理机制。知网在没有提供账号注销功能的情况下，违反了《个人信息保护法》第五十条。个人信息处理企业为满足该条纹的合规性，应当至少做到以下几点：

（1）建立个人行使权利的申请受理机制；

（2）向个人提供便捷的查阅、复制、转移、更正、补充、删除个人信息的方法；

（3）及时响应个人行使权利的申请，是否及时完整、准确告知处理意见或者执行结果。

（二）处罚力度分析

根据罚款数额可知，网信办作出的处罚依据是《个人信息保护法》第66条，即违反本法规定处理个人信息，或者处理个人信息未履行本法规定的个人信息保护义务的，由履行个人信息保护职责的部门责令改正，给予警告，没收违法所得，对违法处理个人信息的应用程序，责令暂停或者终止提供服务；……有前款规定的违法行为，情节严重的，由省级以上履行个人信息保护职责的部门责令改正，没收违法所得，并处五千万元以下或者上一年度营业额百分之五以下罚款……。

通过法定的罚款数额区间范围可以看出，尽管知网声称其在面对调查期间表现出配合监管部门的态度并进行了相关整改工作，然而监管部门还是对知网采用了定格罚，可见知网的违法行为情节十分严重，监管部门对该违法行为的处罚态度也十分坚决。

四、小   结

我国自2021年11月1日已经正式开始实施《个人信息保护法》，尽管知网在2022年因反垄断被罚后公开表示“将全面加强合规建设整改措施”，然而仅过半年之余，其再次因个人信息保护违规受到巨额罚款。因此，知网公开所称的“全面合规建设”其实并不到位，相关涉及个人信息处理的企业应当从知网的“口头合规”而“实质违规”得到警示。

当前，我国已经颁布《网络安全法》《数据安全法》《个人信息保护法》。今年8月3日，网信办针对《个人信息保护法》中的数据合规审计又发布了《个人信息保护合规审计管理办法（征求意见稿）》。除此次巨额数据违规罚款外，2022年滴滴全球股份有限公司还因违反前述法律受到了网信办80亿元的天价处罚。可见，不论从立法趋势还是从行政处罚趋势来看，监管部门对于违反《个人信息保护法》等数据安全相关法律法规的行为的打击力度都在逐步提高，数据合规必然是大势所趋。

因此，个人信息处理等涉数据行业的企业应该加强个人信息保护的重视程度，建立数据合规意识，根据企业实际情况自行或委托律师事务所对数据合规义务进行梳理，通过制定数据专项合规计划，建立和完善合规管理体系、制定合规管理制度、落实合规运行机制、健全合规保障机制等内容，做好相应合规工作，加强数据违规风险识别和管理，尽可能确保日常经营中的个人信息处理行为符合监管要求，避免企业因违规行为受到财务和声誉的双重损失。

相关内容：

国家互联网信息办公室《个人信息保护合规审计管理办法（征求意见稿）》要点拆解 https://mp.weixin.qq.com/s/deBlXtTab_dLz0FP1Pq_RQ 

参考：

[1]国家互联网信息办公室对知网（CNKI）依法作出网络安全审查相关行政处罚http://www.cac.gov.cn/2023-09/06/c_1695654024248502.htm

[2]数据来源：虎嗅网 知网又收天价罚单，这次是为啥？https://www.huxiu.com/article/2023852.html

[3]图片来源：央广网 5000万元！知网再遭重罚 知网违法收集了哪些个人信息？ http://china.cnr.cn/gdgg/20230907/t20230907_526410624.shtml

作者介绍

胥京敏，睿扬律师事务所合伙人，青岛办公室副主任。执业十年，擅长企业合规、民商事争议解决、刑事辩护等法律事务，兼具检察院工作经验，已办理多件涉案企业合规不起诉案例，为多家国有企业进行合规体系建设，并协助新型企业进行合规整改，在合规领域积累了丰富的理论基础和实务经验。

马雯允，睿扬青岛办公室实习律师，毕业于中国海洋大学，硕士研究生，主要从事的业务领域是民商事诉讼和企业合规业务。旨在以细心、专注、负责的态度，借力团队指导和帮助，逐步在各类民商事业务以及公司业务层面发展，为客户提供风险防控建议及争议解决策略。