2023 年 9 月 6 日，国家互联网信息办公室通报，对知网（CNKI）依法作出网络安全审查相关行政处罚的决定，责令停止违法处理个人信息行为，并处人民币五千万元罚款。通报指出，知网存在违反必要原则收集个人信息、未经同意处理个人信息、未及时删除个人信息等问题。
这张罚单的意义，不在于金额本身，而在于它把《个人信息保护法》中最容易被忽视的“必要性原则”，变成了一次可核验的执法样本。
必要原则不是一句口号
《个人信息保护法》要求处理个人信息应当具有明确、合理的目的，并限于实现处理目的的最小范围，不得过度收集。必要原则包含两层：目的必要，以及范围最小。
对学术文献平台而言，收集用户信息用于账号注册、文献管理、检索记录是合理的；但收集与核心功能无关的信息，或者以“提升服务”为名扩大收集范围，就难以通过必要性检验。企业需要把每一项收集字段与具体功能对应起来，而不是笼统地写进隐私政策。
同意不是万能钥匙
通报提到未经同意处理个人信息。实践中，很多企业以为只要隐私政策里有概括同意，就可以覆盖所有处理活动。但同意应当是具体的、知情的、自愿的，且能够撤回。把同意捆绑在注册流程中，或者用“不同意即无法使用”迫使同意，都可能影响同意的有效性。
对已经收集的信息，如果处理目的发生变化，需要重新取得同意，或者寻找其他合法性基础。不能因为“以前同意过”，就默认可以用于新的用途。
删除与留存
通报还提到未及时删除个人信息。删除义务常被忽略，因为它不像收集那样有明确的业务动作。但删除涉及账号注销、服务终止、目的实现、用户请求等场景，需要有可执行的流程与记录。
企业应当明确：哪些数据在什么条件下删除、由谁执行、如何验证、备份中的副本如何处理。只写“将及时删除”而没有操作机制，在检查时很难证明履行了义务。
网络安全审查的连带效应
知网的处罚与网络安全审查相关。这说明个人信息问题不只是《个人信息保护法》的问题，也可能触发网络安全审查、数据安全审查等机制。对掌握大量用户数据、学术数据或行业数据的平台，审查的关注点会延伸到数据出境、关键信息基础设施与供应链安全。
企业不应把合规工作切成互不相关的模块。个人信息、数据安全、网络安全与出境管理，在实际检查中往往是一套证据链。
平台可以自查的五点
第一，收集字段是否与功能一一对应，是否存在“先收集再说”的字段。第二，隐私政策是否具体、可读，是否说明处理目的、方式、范围与保存期限。第三，同意是否可撤回，是否存在捆绑同意。第四，删除与注销流程是否可执行、可验证。第五，是否建立了个人信息保护负责人、影响评估与合规审计机制。
涉及个人信息保护与数据合规，可参见数据合规服务；涉及网络安全审查与安全事件处置，参见网络安全合规服务；涉及常年合规支持，另见常年法律顾问服务。
本文依据国家网信办 2023 年 9 月 6 日通报编写，仅供参考，不构成法律意见。