一揽子要权限的 App，为什么被要求整改？
情景背景：某生活服务类 App（情景改编）在首次启动时默认勾选同意隐私政策，用户仅使用资讯浏览功能即被申请通讯录、位置、相机等全部权限，拒绝授权后基础功能无法使用，经检测评估被要求整改。
争议与处理思路：问题聚焦三类：默认勾选不构成在充分知情前提下自愿、明确的同意；收集范围与所用功能不直接相关，超出最小必要；拒绝非必要授权即拒绝服务，违反自愿原则。整改路径通常是重做权限—功能对应表、取消默认勾选、提供拒绝授权后的基础功能，并就超范围收集的数据做删除或匿名化处理。
平台提示：上线前做一次“权限最小化走查”：逐页面核对申请权限与当前功能是否直接相关；弹窗文案与实际收集行为一致；同意记录留痕（时间、版本、范围），版本升级扩大收集范围时重新告知。
离职员工要求删除全部个人信息，公司怎么办？
情景背景：某公司前员工离职后（情景改编）要求公司删除其全部个人信息，包括简历、考勤记录、绩效考核与社保缴纳记录；人力资源部门担心删除后无法应对潜在劳动争议，双方僵持不下。
争议与处理思路：处理思路是按目的区分：招聘评估与在职管理目的已经实现的简历、日常监控记录等，应当删除或停止处理；履行劳动法律义务所必需的工资、考勤、社保等档案材料，依法可以留存，但留存范围与期限应与法律要求匹配，并采取必要安全保护措施、限定接触人员。可向员工书面说明删除与留存的清单及依据。
平台提示：把员工信息的“留与删”写入制度：分类列明留存项目、依据与期限；离职环节设置统一的删除评估流程，逐类判断“删、留、停”并留痕，避免个案临时判断引发争议。
集团拟向境外总部传输客户数据，先走哪条路径？
情景背景：某外资企业中国子公司（情景改编）拟将境内客户个人信息传输至境外总部统一客户服务系统，法务部门在安全评估、标准合同与保护认证之间难以选择，项目因此停滞。
争议与处理思路：先核对事实状态再定路径：企业是否属于关键信息基础设施运营者、数据是否涉及重要数据、累计出境个人信息的规模区间、是否落入《促进和规范数据跨境流动规定》的豁免情形。不触发安全评估的，标准合同通常是常用路径，签约后向省级网信部门备案，并同步完成个人信息保护影响评估；集团内多主体持续出境的，可评估保护认证。路径确定后建立出境台账做动态维护。
平台提示：出境合规是动态义务：规模跨档、场景新增、监管口径调整都可能改变路径。建议每年复核一次台账，重大业务变化时即时复评，豁免适用留存书面判断依据。
供应商泄露了客户数据，责任怎么分？
情景背景：某企业将会员运营委托给第三方服务商（情景改编），服务商因安全措施不足发生数据库泄露，会员投诉与监管问询直接指向委托企业，双方就责任承担产生分歧。
争议与处理思路：对个人与监管而言，委托企业作为个人信息处理者，仍需先行履行告知、报告与补救义务；对内则依据委托处理合同约定的保护措施、违约责任与赔偿安排向服务商追偿。若委托前未做尽调、合同未约定数据安全条款、事后未履行监督义务，委托企业自身也可能被认定未尽保护义务而承担相应责任。
平台提示：委托前对供应商做安全尽调；合同明确处理目的、期限、方式、信息种类、保护措施与双方权利义务；存续期内定期核查，发生事件按约定通知与处置。责任划分的关键大多在事前的合同与尽调，而不是事后的争论。