网信上海发现某火锅连锁企业存储的1.5亿条顾客信息未加密处于裸奔中
内容提要
上海市网信办对多家企业处罚，涉及个人信息保护问题，包括收集存储不合规、制度规范不健全、管理措施不到位、安全防护不严密等。其中一家火锅餐饮连锁企业存储的会员个人信息达1.5亿条，存在泄露风险。其他企业也存在类似问题。
延伸解读
执法信号：地方网信办首次独立适用《个人信息保护法》
本次处罚是地方网信办在全国范围内首次依据《个人信息保护法》自主办理的系列行政处罚案件。这意味着个人信息保护执法不再仅由中央层面推动，地方网信部门已具备独立立案、调查和处罚的能力。对于企业而言，合规压力从“被约谈整改”升级为“可能直接受罚”，且执法行动具有“回头看”性质，表明整改不到位将面临实质性法律后果。
存储环节风险：未加密的1.5亿条信息意味着什么
文章披露某火锅连锁企业存储的会员个人信息达1.5亿条，包括手机号码、邮箱地址，另有18万条员工身份证号，且均未加密。这意味着一旦服务器被入侵或出现内部人员违规，数据可被直接读取，无需解密。对于拥有千万级注册会员的企业，这种“裸奔”状态将用户置于高度泄露风险中，也反映出企业在数据安全基础防护上的严重缺失。
行业普遍性：不止火锅企业，多类商家存在类似问题
除火锅企业外，上海网信办还指出某大型商超存储39万条家庭卡用户手机号和身份证信息、某房产中介收集200万条用户数据（其中20万条客户号码）、某少儿培训机构存储4万条学生姓名和监护人手机号，均未采取加密、去标识化等必要保护措施。这表明个人信息未加密存储并非个案，而是横跨餐饮、零售、房产、教育等多个行业的普遍性合规短板。
五大类问题覆盖全生命周期，企业需系统性整改
处罚所涉问题贯穿个人信息处理全流程：收集环节强制、过度收集；存储环节大量数据未加密；传输环节随意授权放权；管理制度明显缺失；安全防护存在漏洞。这提示企业不能仅针对单一环节修补，而应建立覆盖收集、存储、传输、制度、防护的系统性合规体系。尤其对已接受约谈或培训仍整改不到位的企业，监管态度已明确趋严。
Q&A
上海市网信办最近处罚了哪些类型的企业？
上海市网信办处罚了一批未有效履行消费者个人信息保护义务的知名企业，涉及火锅连锁、大型商超、房产中介、少儿培训机构等多个行业。
网信办指出的五大类个人信息保护问题是什么？
五大类问题包括：收集环节强制要、过度取个人信息；存储环节大量个人信息未加密；传输环节企业随意授权放权管理不到位；管理制度缺失；安全防护存在漏洞。
某火锅连锁企业存储了多少条顾客信息？
该火锅连锁企业存储的会员个人信息达1.5亿条，包括手机号码、邮箱地址等，还包含18万条公司员工个人信息如身份证号。
为什么这次处罚具有标志性意义？
这是地方网信办在全国范围内首次依据《个人信息保护法》自主办理的系列行政处罚案件。
除了火锅企业，还有哪些企业存在个人信息未加密问题？
某大型商超存储39万条家庭卡用户手机号码、身份证等；某房产中介收集200万条用户数据，其中20万条客户号码；某少儿培训机构存储4万条学生姓名和监护人手机号码等，均未采取加密、去标识化等安全保护措施。
个人信息未加密存储可能带来什么风险？
一旦服务器遭入侵或存在内鬼，所有用户信息会被泄露，且无需解密即可直接查看，风险非常严重。
