• （第六条）收集个人信息，应当限于实现处理目的的最小范围，不得过度收集个人信息。

• （第五十一条）应根据个人信息的处理目的、处理方式、个人信息的种类以及对个人权益的影响、可能存在的安全风险等，采取措施确保个人信息处理活动合法合规，并防止未经授权的访问以及个人信息泄露、篡改、丢失。

• （第五十一条第二款）个人信息分类处理：对个人信息实行分类管理。
• （第二十八条）敏感个人信息分类处理：主要包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。
• （第三十一条）个人信息处理者处理不满十四周岁未成年人个人信息，应当取得未成年人的父母或者其他监护人的同意，并制定专门的信息处理规则。

• （第五十五、五十六条）个人信息处理者应当事前进行个人信息保护影响评估，并对处理情况进行记录；确保合法合规的情况下，对①个人信息的处理目的、处理方式等是否合法、正当、必要；②对个人权益的影响及安全风险；③所采取的保护措施是否合法、有效并与风险程度相适应3点进行评估，以降低或规避潜在风险

 Part 3  企 业 正 面 临 什 么 ？

• API作为承载数据交互的关键载体，如果安全措施做的不足，个人信息会存在过量数据暴露、数据被爬取、恶意篡改、第三方违规留存等安全风险，进而导致数据泄露。

• 企业内部人员角色与可访问的系统、系统相关的权限、权限绑定的相关数据边界模糊，人-数据-风险无法闭环链接，企业内部人员能够轻易借助工作之便，进行信息倒卖的非法利用。

• 很多企业业务多，数据量大且复杂，企业无法清晰梳理并掌握库内数据情况和关系映射，敏感数据没有标识且分布不明，企业无法做出针对性的重点数据安全防护。

• 数据库是企业存储数据的重要载体，库内数据的流动面临着各种数据风险，如果不做好全时态数据库风险监测，无法对风险进行预警，容易造成敏感数据泄漏，不满足数据安全合规要求。