全球最高罚单！四张表看懂滴滴处罚依据（ 附法规标准原文定位）｜iLaw
点击 预约 ，进入视频号学习更多课程
7月21日，国家互联网信息办公室发布滴滴案件处罚结果。通报称，根据网络安全审查结论及发现的问题和线索，国家互联网信息办公室依法对滴滴全球股份有限公司涉嫌违法行为进行立案调查。
经查实，滴滴全球股份有限公司违反《网络安全法》《数据安全法》《个人信息保护法》的违法违规行为事实清楚、证据确凿、情节严重、性质恶劣。依据《网络安全法》《数据安全法》《个人信息保护法》《行政处罚法》等法律法规，对滴滴全球股份有限公司处人民币 80.26 亿元罚款，对滴滴全球股份有限公司董事长兼 CEO 程维、总裁柳青各处人民币 100 万元罚款。
滴滴本次行政处罚无疑是我国在《个人信息保护法》生效以来开出的最高金额， 80.26 亿人民币的罚金甚至超越了2021年亚马逊因违反GDPR在欧盟受到的 7.43 亿欧元处罚，仅次2019年脸书受到的FTC处罚，成为全球数据隐私保护领域迄今为止第二高罚单。
本文基于官方通报内容及官方公开可查数据，浅析滴滴本次处罚依据，包括罚款金额构成依据、管辖依据、时效问题等，并逐项梳理滴滴本案中违法行为所对应的法条规定，愿能为企业数据合规体系建设提供一定参考。
根据网信办通报内容，滴滴本次行政处罚依据为《网络安全法》《数据安全法》《个人信息保护法》《行政处罚法》等法律法规。
1.时间效力问题：
2021年7月15日生效的《中华人民共和国行政处罚法》第三十六条规定，违法行为在二年内未被发现的，不再给予行政处罚；涉及公民生命健康安全、金融安全且有危害后果的，上述期限延长至五年。法律另有规定的除外。前款规定的期限，从违法行为发生之日起计算;违法行为有连续或者继续状态的，从行为终了之日起计算。第三十七条 实施行政处罚，适用违法行为发生时的法律、法规、规章的规定。
据此，虽然《数据安全法》《个人信息保护法》分别于2021年9月及11月生效，均在网信办对滴滴启动网络安全审查之后，但从通报内容来看，因滴滴侵害个人信息及影响国家安全之行为具有的持续性，除《网络安全法》外，仍可适用《数据安全法》及《个人信息保护法》进行处罚。
2. 处罚竞合问题：
处罚依据 | 相关法条 |
《个人信息保护法》 | 第六十六条 违反本法规定处理个人信息,或者处理个人信息未履行本法规定的个人信息保护义务的,由履行个人信息保护职责的部门责令改正,给予警告,没收违法所得,对违法处理个人信息的应用程序,责令暂停或者终止提供服务;拒不改正的,并处一百万元以下罚款;对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款。 有前款规定的违法行为，情节严重的,由省级以上履行个人信息保护职责的部门责令改正，没收违法所得,并处五千万元以下或者上一年度营业额百分之五以下罚款，并可以责令暂停相关业务或者停业整顿、通报有关主管部门吊销相关业务许可或者吊销营业执照;；对直接负责的主管人员和其他直接责任人员处十万元以上一百万元以下罚款，并可以决定禁止其在一定期限内担任相关企业的董事、监事、高级管理人员和个人信息保护负责人。 |
《网络安全法》 | 第六十四条 网络运营者、网络产品或者服务的提供者违反本法第二十二条第三款、第四十一条至第四十三条规定，侵害个人信息依法得到保护的权利的，由有关主管部门责令改正，可以根据情节单处或者并处警告、没收违法所得、处违法所得一倍以上十倍以下罚款，没有违法所得的，处一百万元以下罚款。 对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款；情节严重的，并可以责令暂停相关业务、停业整顿、关闭网站、吊销相关业务许可证或者吊销营业执照。 |
《数据安全法》 | 第四十五条 开展数据处理活动的组织、个人不履行本法第二十七条、第二十九条、第三十条规定的数据安全保护义务的，由有关主管部门责令改正，给予警告，可以并处五万元以上五十万元以下罚款，对直接负责的主管人员和其他直接责任人员可以处一万元以上十万元以下罚款；拒不改正或者造成大量数据泄露等严重后果的，处五十万元以上二百万元以下罚款，并可以责令暂停相关业务、停业整顿、吊销相关业务许可证或者吊销营业执照，对直接负责的主管人员和其他直接责任人员处五万元以上二十万元以下罚款。 违反国家核心数据管理制度，危害国家主权、安全和发展利益的，由有关主管部门处二百万元以上一千万元以下罚款，并根据情况责令暂停相关业务、停业整顿、吊销相关业务许可证或者吊销营业执照；构成犯罪的，依法追究刑事责任。 第四十六条 违反本法第三十一条规定，向境外提供重要数据的，由有关主管部门责令改正，给予警 告，可以并处十万元以上一百万元以下罚款，对直接负责的主管人员和其他直接责任人员可以处一万元以上十万元以下罚款；情节严重的，处一百万元以上一千万元以下罚款，并可以责令暂停相关业务、停业整顿、吊销相关业务许可证或者吊销营业执照，对直接负责的主管人员和其他直接责任人员处十万元以上一百万元以下罚款。 |
《行政处罚法》 | 第四条 公民、法人或者其他组织违反行政管理秩序的行为，应当给予行政处罚的，依照本法由法律、法规、规章规定，并由行政机关依照本法规定的程序实施。 第二十九条 对当事人的同一个违法行为，不得给予两次以上罚款的行政处罚。同一个违法行为违反多个法律规范应当给予罚款处罚的，按照罚款数额高的规定处罚。 |
综上，滴滴违法行为所涉及三部主要法律均规定了不同行政处罚及罚款额度，根据2021年修订的《行政处罚法》第二十九条新增内容：「对当事人的同一个违法行为，不得给予两次以上罚款的行政处罚。同一个违法行为违反多个法律规范应当给予罚款处罚的，按照罚款数额高的规定处罚」。
据此，如滴滴公司的行为同时违反上述法律，则行政处罚中将依据罚款数额最高的规定处罚。
3. 罚款金额问题：
根据《个人信息保护法》第六十六条（见上文表格），违法处理个人信息或者处理个人信息未履行法律规定的个人信息保护义务的，企业最高可被除以上一年度营业额百分之五以下罚款,对直接负责的主管人员和其他直接责任人员可处十万元以上一百万元以下罚款。
根据滴滴于今年4月发布的财报，滴滴2021年总营收为1738.3亿元（约272.8亿美元），其中来自中国区域业务营收为1605.2亿元。据此，80.26亿极有可能为滴滴2021年中国区总营业额5%的顶格处罚，同时，对滴滴董事长、总裁各处人民币100万元罚款，亦为《个人信息保护法》规定的「对直接负责的主管人员和其他直接责任人员」处罚最高额。
4. 涉外管辖权问题：
虽然本次受处罚主体「滴滴全球股份有限公司」为注册在开曼群岛的离岸公司，但根据我国《个人信息保护法》《数据安全法》《网络安全法》规定，中华人民共和国公民的个人信息受到严格的保护。
无论国内公司还是国外公司，只要涉及在我国境内开展数据处理活动，均受到我国法律管辖。即使在境外处理我国公民个人信息，只要以向境内自然人提供产品或者服务为目的，亦在管辖范围。
法律 | 管辖规定 |
《个人信息保护法》 | 第三条 在中华人民共和国境内处理自然人个人信息的活动,适用本法。 在中华人民共和国境外处理中华人民共和国境内自然人个人信息的活动,有下列情形之一的,也适用本法: (一)以向境内自然人提供产品或者服务为目的; (二)分析、评估境内自然人的行为; (三)法律、行政法规规定的其他情形。 |
《数据安全法》 | 第二条 在中华人民共和国境内开展数据处理活动及其安全监管，适用本法。 在中华人民共和国境外开展数据处理活动，损害中华人民共和国国家安全、公共利益或者公民、组织合法权益的，依法追究法律责任。 |
《网络安全法》 | 第二条 在中华人民共和国境内建设、运营、维护和使用网络，以及网络安全的监督管理，适用本法。 |
《行政处罚法》 | 第八十四条 外国人、无国籍人、外国组织在中华人民共和国领域内有违法行为，应当给予行政处罚的，适用本法，法律另有规定的除外。 |
（文末扫描二维码领取高清版本法条定位表格）
官方通报违法事实 | 所涉违法行为 | 法条/标准原文（合规提示） |
违法收集用户手机相册中的截图信息1196.39万条 | 违法收集个人信息 | 《个人信息保护法》第七条 处理个人信息应当遵循公开、透明原则，公开个人信息处理规则，明示处理的目的、方式和范围。 《网络安全法》第四十一条 网络运营者收集、使用个人信息，应当遵循合法、正当、必要的原则，公开收集、使用规则，明示收集、使用信息的目的、方式和范围，并经被收集者同意。 |
过度收集用户剪切板信息、应用列表信息83.23亿条 | 违反最小必要原则，过度收集个人信息 | 《个人信息保护法》第六条 处理个人信息应当具有明确、合理的目的，并应当与处理目的直接相关，采取对个人权益影响最小的方式。 收集个人信息，应当限于实现处理目的的最小范围，不得过度收集个人信息。 《个人信息保护法》第二十九条 处理敏感个人信息应当取得个人的单独同意；法律、行政法规规定处理敏感个人信息应当取得书面同意的，从其规定。 第三十条 个人信息处理者处理敏感个人信息的，除本法第十七条第一款规定的事项外，还应当向个人告知处理敏感个人信息的必要性以及对个人权益的影响；依照本法规定可以不向个人告知的除外。" |
过度收集乘客人脸识别信息1.07亿条、年龄段信息5350.92万条、职业信息1633.56万条、亲情关系信息138.29万条、“家”和“公司”打车地址信息1.53亿条 | 违反最小必要原则，过度收集个人信息以及敏感个人信息 | |
过度收集乘客评价代驾服务时、App后台运行时、手机连接桔视记录仪设备时的精准位置（经纬度）信息1.67亿条； | 过度收集敏感个人信息 | |
过度收集司机学历信息14.29万条，以明文形式存储司机身份证号信息5780.26万条； | 违反最小必要原则收集个人信息，存储敏感个人信息未采取合理安全措施 | 《个人信息保护法》第五十一条 个人信息处理者应当根据个人信息的处理目的、处理方式、个人信息的种类以及对个人权益的影响、可能存在的安全风险等，采取下列措施确保个人信息处理活动符合法律、行政法规的规定，并防止未经授权的访问以及个人信息泄露、篡改、丢失：...... （三）采取相应的加密、去标识化等安全技术措施； 《信息安全技术 个人信息安全规范》 "6.3 个人敏感信息的传输和存储 对个人信息控制者的要求包括： a) 传输和存储个人敏感信息时，应采用加密等安全措施" |
在未明确告知乘客情况下分析乘客出行意图信息539.76亿条、常驻城市信息15.38亿条、异地商务/异地旅游信息3.04亿条 | 利用个人信息进行自动化决策未保证透明度 | 《个人信息保护法》第二十四条 个人信息处理者利用个人信息进行自动化决策，应当保证决策的透明度和结果公平、公正，不得对个人在交易价格等交易条件上实行不合理的差别待遇。 《互联网信息服务算法推荐管理规定》第十六条 算法推荐服务提供者应当以显著方式告知用户其提供算法推荐服务的情况，并以适当方式公示算法推荐服务的基本原理、目的意图和主要运行机制等。 |
在乘客使用顺风车服务时频繁索取无关的“电话权限” | 频繁索取非功能必要权限 | 《个人信息保护法》第六条 《常见类型移动互联网应用程序必要个人信息范围规定》 第三条 本规定所称必要个人信息，是指保障App基本功能服务正常运行所必需的个人信息，缺少该信息App即无法实现基本功能服务。具体是指消费侧用户个人信息，不包括服务供给侧用户个人信息。 《App违法违规收集使用个人信息行为认定方法》四、以下行为可被认定为“违反必要原则，收集与其提供的服务无关的个人信息” 1.收集的个人信息类型或打开的可收集个人信息权限与现有业务功能无关 《工业和信息化部关于开展纵深推进APP侵害用户权益专项整治行动的通知》第三条（二）设置障碍、频繁骚扰用户方面。5.APP强制、频繁、过度索取权限......重点整治短时长、高频次，在用户明确拒绝权限申请后，频繁弹窗、反复申请与当前服务场景无关权限的行为。 |
未准确、清晰说明用户设备信息等19项个人信息处理目的 | 处理个人信息未同步告知处理目的 | 《个人信息保护法》第十七条 个人信息处理者在处理个人信息前，应当以显著方式、清晰易懂的语言真实、准确、完整地向个人告知下列事项： （二）个人信息的处理目的、处理方式，处理的个人信息种类、保存期限； 《App违法违规收集使用个人信息行为认定方法》二、以下行为可被认定为“未明示收集使用个人信息的目的、方式和范围” 1.未逐一列出App(包括委托的第三方或嵌入的第三方代码、插件)收集使用个人信息的目的、方式、范围等； 2.收集使用个人信息的目的、方式、范围发生变化时，未以适当方式通知用户，适当方式包括更新隐私政策等收集使用规则并提醒用户阅读等； 3.在申请打开可收集个人信息的权限，或申请收集用户身份证号、银行账号、行踪轨迹等个人敏感信息时，未同步告知用户其目的，或者目的不明确、难以理解； 4.有关收集使用规则的内容晦涩难懂、冗长繁琐，用户难以理解，如使用大量专业术语等。 |
严重影响国家安全的数据处理活动，以及拒不履行监管部门的明确要求；违法违规运营给国家关键信息基础设施安全和数据安全带来严重安全风险隐患 | 《网络安全法》《网络安全审查办法》《关键信息基础设施安全保护条例》等 |
此间正直国家互联网信息办公室于2021年7月2日对滴滴发起网络安全审查一周年之际，《数据安全法》施行及《个人信息保护法》颁布亦即将迎来一周年，滴滴公司被开出的天价罚款，一方面说明我国在网络安全、数据保护、个人信息保护领域的监管决心和执法力度绝不容小觑；另一方面，伴随着法律法规不断出台、监管力度持续加码，构建起以《个人信息保护法》《数据安全法》《网络安全法》为基础的企业数据合规体系之重要性也再度凸显。
扫描二维码添加圈圈微信领取高清版本法条定位表格
（点击阅读原文跳转「网信办负责人答记者问」）
【直播预告】
👓 你一定还想看
Copyright © 2022 iLAW.All rights reserved.
本内容及配图设计为iLAW原创版权所有。任何个人或公司未经授权严禁转载使用，如需转载请微信联络@ilawhegui3