价格：联系客服报价
上课方式：公开课/内训/总裁班课程 时间上课时间：1天
授课对象：企业财务、人事、运营等管理岗位负责人及骨干人员；法务、行政、IT等相关配合人员
授课讲师：张振中
个人信息保护和数据安全常被当作互联网公司或信息部门的事，但对化工企业而言，招聘筛选、员工档案、体检结论、工资发放、报销单据、客户与供应商联系人、访客与承包商登记、厂区监控与门禁考勤、危化品运输司机资料，每天都在产生和流转个人信息与重要数据。只要企业在决定处理的目的和方式，法律上就是"个人信息处理者"，须承担相应义务，违法后果不仅落在企业，也可以直接落到主管人员和直接责任人身上。 同时，真实风险大多不是从技术漏洞开始，而是从人的动作开始。约七成数据泄露与内部人员相关，既有恶意窃取，也有疏忽误操作和被钓鱼利用。本课程分两部分：先逐章解读《个人信息保护法》，讲清规则主线和合规红线；再回到企业自身，讲清风险从哪里来、员工应守住哪些底线，并围绕财务、人事、运营三大场景给出可执行的合规动作。
通过本课程的学习，学员能够建立对《个人信息保护法》的整体认知，理解适用范围、七类合法性基础、单独同意、敏感个人信息、保存期限和跨境提供等核心规则，清楚企业作为处理者应承担的义务与违法可能面临的责任后果，从"知道有这部法"变成"知道哪些动作违法、哪些动作合规"。 同时，学员能够从典型数据安全事件中看清风险的真实来源，掌握终端与账号、邮件与钓鱼识别、移动介质、文件与社交等日常场景的基本防护动作，形成个人层面的安全习惯；并结合财务、人事、运营三大岗位场景，识别本岗位高频风险点，明确对应的合规要求与操作红线。
第一部分：《个人信息保护法》解读 第一讲：总则：法律定位、适用范围与关键定义 一、立法背景与法规坐标 1.四部里程碑：《网络安全法》《密码法》《数据安全法》《个人信息保护法》 2.三法分工：网络安全法管系统底座，数据安全法管数据治理，个保法管个人权益 3.配套规则：网络数据安全管理条例、合规审计管理办法、人脸识别技术应用安全管理办法 二、适用范围：属地原则与域外管辖 1.属地原则：境内处理自然人个人信息的活动适用本法 2.域外适用：向境内自然人提供产品服务、分析评估境内自然人行为 三、七大关键定义：先分清对象和角色 1.个人信息与敏感个人信息：生物识别、医疗健康、金融账户、行踪轨迹等 2.处理与处理者：收集、存储、使用、传输、提供、公开、删除；谁定目的谁担责 3.去标识化与匿名化：匿名化后不再受本法约束，去标识化仍属个人信息 四、五组基本原则 1.合法正当必要诚信，不得误导、欺诈、胁迫 2.目的明确与最小必要，不得过度收集 3.公开透明、质量准确、安全保障与责任到人 场景讨论：招聘表要求填写婚育情况、家庭财产和既往病史，用上述定义和原则判断哪些字段站不住。 第二讲：处理规则：从合法性基础到跨境提供 一、七类合法性基础 1.取得个人同意。 2.合同必需，或按依法制定的规章制度和集体合同实施人力资源管理所必需。 3.法定义务、突发紧急、公共利益、已合法公开信息及其他法定情形。 合规提示：第2至7项不需取得同意。"人力资源管理所必需"是人事条线的主要依据，但前提是制度依法制定、内容与用工直接相关。 二、告知同意与"单独同意" 1.告知内容：处理者信息、目的与方式、信息种类、保存期限、行权方式。 2.五类必须单独同意：向他人提供、公开、公共场所采集信息用于其他目的、敏感个人信息、向境外提供。 3.撤回同意与不得强制：提供便捷撤回途径；不得因不同意而拒绝服务。 三、保存期限：以最短必要为原则 1.一般规则：实现目的所必需的最短时间，到期删除或匿名化。 2.兜底条款：法律行政法规另有规定的从其规定。 四、六大场景下的处理规定 1.委托处理与共同处理：约定权责、监督受托方、不得擅自转委托；共同处理承担连带责任。 2.对外提供与公开：告知接收方信息并取得单独同意。 3.公共采集与自动化决策：为维护公共安全所必需并设提示标识；营销须提供拒绝方式。 五、敏感个人信息处理规则 1.前提：特定目的、充分必要、严格保护措施 2.程序：单独同意、加重告知、事前开展影响评估 3.高频场景：人脸与指纹、体检结论、银行账户、车辆定位、征信记录 六、跨境提供规则 1.三条路径：安全评估、保护认证、标准合同 2.共同要求：单独同意、事前评估、告知境外接收方相关事项 3.易忽略形态：境外系统远程访问、员工数据存入境外人力系统、境外邮箱与云盘 场景讨论：集团要求把员工薪酬、绩效和体检结论上传境外人力系统，判断是否构成出境、需补齐哪些文件。 第三讲：个人权利、企业义务与法律责任 一、个人在处理活动中的权利 1.知情权、决定权、查阅复制与转移权 2.更正补充权、删除权、解释说明权、近亲属行权 3.机制要求：建立便捷受理机制，拒绝请求须说明理由 二、个人信息处理者的义务清单 1.制度规程与分类管理，权限最小化与定期培训 2.加密、去标识化等安全技术措施，应急预案 3.事前影响评估、定期合规审计，记录至少保存三年 三、义务分层：本企业适用哪一档 1.分层逻辑：处理人数规模决定义务强度 2.小规模处理者简化措施：不满十万人可简化部分动作，具体以现行有效规定为准 3.简化不等于豁免：合法性基础、单独同意、安全措施、权利响应仍须完整履行 四、事件通知与监管执法 1.触发与内容：发生或可能发生泄露篡改丢失，立即补救并通知履职部门和个人 2.监管履职：调查询问、查阅资料、现场检查，企业应予配合 3.约谈与强制审计：风险较大或发生事件的，可约谈负责人或要求委托专业机构审计 五、法律责任 1.行政责任：责令改正、警告、没收违法所得；拒不改正并处一百万元以下罚款 2.情节严重：并处五千万元以下或上年营业额百分之五以下罚款，可停业整顿、吊销执照 3.个人责任：对责任人员最高一百万元罚款，可禁止一定期限内担任董监高 4.民事与刑事：损害赔偿适用过错推定；构成侵犯公民个人信息罪的依法追究 案例分析：销售人员私自拷贝客户名单被判刑并处罚金，离职工程师将资料发至个人邮箱被起诉索赔。 第二部分：企业数据安全风险与员工安全意识 第四讲：警钟长鸣：数据安全风险离我们有多远 一、典型事件复盘 1.内鬼泄密：离职团队通过硬盘拷贝、U盘外带、邮件外发带走核心图纸与工艺资料 2.生产停摆：新设备接入内网前未隔离查毒，勒索病毒扩散导致产线停摆 3.配置疏忽与供应链突破：云存储权限配置错误暴露凭证；第三方被入侵后横向进入内网 二、内部威胁的三种面孔 •恶意内部人员 •疏忽内部人员 •被利用内部人员 三、化工企业的风险特点 1.数据多元：工艺配方与参数、生产运行数据、安全环保与危化品运输数据、员工职业健康数据 2.生产网与办公网交织，外部厂商远程运维、移动介质跨网使用 3.外部协作频繁：承包商作业、外包运输、代账与审计机构、集团共享中心 第五讲：员工个人安全意识：守住日常底线 一、终端与账号 •强密码、不同系统不同密码、定期更换，关键系统启用双因子认证 •离开锁屏，自动锁屏不超过五分钟；及时打补丁并保持杀毒软件更新 二、邮件与钓鱼识别四看原则 （1）看发件人 （2）看链接地址 （3）看内容细节 （4）看沟通方式 三类高频剧本：人事通知薪资调整、管理员要求邮箱验证、供应商发来修改后的报价单 三、移动介质与移动终端 1.严禁私人U盘接入办公电脑，统一使用合规加密介质并接入前查毒 2.生产区域绝对禁令：严禁私人U盘接入DCS、MES、PLC等生产核心设备 3.公私分离，拒绝陌生公共Wi-Fi，访问内网使用公司VPN 四、文件、社交与远程办公 1.敏感文件加密存储、不落本地，共享遵循最小权限，外发启用加密 2.纸质文件涉密打印审批、废弃碎纸销毁；社交不晒工牌、现场与未公开项目信息 3.AI与在线工具：不得把员工、客户信息和工艺资料输入公开AI工具或在线转换服务 合规提示：转成一张可打勾清单：强密码、自动锁屏、系统更新、邮件二次确认、只用合规U盘、文件不落本地、社交不晒工作、AI工具按白名单。 第六讲：财务、人事、运营三大场景的风险与合规动作 一、财务场景 1.报销与薪酬：单据高敏字段散落多处备份；工资表群发、附件不加密、打印件遗留 2.冒充领导转账：伪造邮件或消息要求紧急付款、变更收款账户 3.外部机构与跨境：代账、审计、税务顾问取数带走资料；向境外报送含个人信息的薪酬数据 合规提示：高敏字段掩码；工资信息点对点加密下发；账户变更一律二次核实留痕；外部机构签数据保护条款并约定返还删除；对外传输走企业受控通道。 二、人事场景 1.招聘与档案：简历过度收集、背景调查未单独授权；共享盘权限过宽、敏感字段集中存放 2.生物识别与员工监控：人脸考勤作为唯一验证方式；监控与定位缺少制度依据和告知 3.离职管理：账号权限回收不及时；客户名单与薪酬数据被复制带离 合规提示：以"与劳动合同直接相关"划定收集边界；人事数据分层设权；生物识别提供替代方式并单独同意；监控纳入依法制定的规章制度并明确告知，不得覆盖私密空间；离职清单逐项留痕。 三、运营场景 1.客户与市场：已公开信息不等于可任意使用；营销缺少同意与退订记录；CRM导出与个人微信中的客户资源失控 2.厂区现场：访客与承包商登记本敞开无销毁安排；监控与人脸门禁缺少提示标识和保存期限 3.系统与第三方：数据台账不清；协议缺数据保护与返还删除条款；外部运维共享账号、离场未关闭 合规提示：先建系统与数据台账再补协议和权限；访客登记只采必需字段并定期销毁；生产网隔离、工控机专用；第三方使用专用账号并实行期限管理与日志留存。 第七讲：事件应急处置与落地行动 一、发现与上报：黄金十五分钟 1.立即断网、保护现场、拍照取证、电话上报、配合调查 2.上报要素：时间、设备或系统、现象、已采取措施 二、四步法与分级响应 1.遏制、报告、保护现场、配合调查 2.与法定报告义务衔接：涉及个人信息泄露的同步启动通知履职部门和个人的流程 3.五类误区：自行杀毒或支付赎金、立即关机重启、继续使用同网设备、四处询问不上报、隐瞒不报 三、备份与复盘 1.3-2-1原则：三份副本、两种介质、一份异地；关键数据离线备份 2.定期验证可恢复性并开展演练，事后复盘更新预案 场景演练：桌面推演。电脑突然重启、文档图标改变并弹出勒索窗口，你的前三个动作是什么、按什么顺序联系谁。
