该专项活动由邮政快递行业主管部门国家邮政局、公安部和网信办三个监督管理部门联动开展，其以问题治理为导向更以目标达成为导向，重点打击并遏制该领域侵犯公民个人信息违法犯罪行为、健全并完善邮政快递领域个人信息保护相关制度措施，同时敦促各企业落实主体责任，以提升该领域个人信息保护水平。

（一）问题导向

近年来手握内容丰富且巨量个人信息的邮政快递企业已成为个人信息黑产的重要目标，侵犯个人信息的违法犯罪行为频发，其更是有着伴随“618”、双十一等电商平台促销活动导致快递寄送需求激增而呈现数据泄露等风险高发的规律。快递面单被非法整合并倒卖和邮政快递企业内部员工违规泄露数据为此类事件的源头。

黑产倒卖倒快递运单现象频发。许多网购消费者可能有类似体验，电商网购后不断收到的骚扰电话、广告推广信息或电话，很可能是因为网购货物的快递信息被泄露了。根据有关新闻报道，网络平台各类贴吧乃至电商平台均存在隐秘兜售实时的或汇总后的历史快递面单或快递信息，包含收件人和寄件人的姓名、电话、地址及网购商品类型等详细个人信息，价格以几毛到几块钱不等。这类底下交易称之为“料子”，其买卖涉及的主体面广，网购货物卖家、承运快递主体后台系统人员、快递中转站分拣员或收寄快递的快递员都可能成为快递面单数据故意泄露或倒卖的主体。以倒卖快递面单或快递信息为核心，泄露快递面单信息，再进行数据整合和打包销售给下游的营销推广、电商刷单及电信网络诈骗团伙已形成“泄露方-中间商-下游购买方”的黑色产业链。

邮政快递企业不乏内部员工违规泄露数据层出不穷。2020年圆通速递有限公司（下称“圆通”）河北省区因内部员工违规泄露40万条个人导致圆通被上海网信办、公安及邮政管理局等多个监管部门约谈并责令整改。事出原因为圆通内部员工与不法分子勾结，利用员工账号和第三方非法工具窃取运单信息并打包售卖给下游的电信网络诈骗团伙。圆通声称其总部实时运行的风控系统已及时监测到该事发快递的有关网点的账号异常登录并异常查询的异常操作，但该事件中仍造成了40多万条个人信息遭到泄露。根据揭阳市中级人民法院2022年4月27日的新闻稿，某新入职的快递员蔡某在9日内利用分拣快递包裹的职务之便，用手机拍了8千多条个人信息照片，同时以1.3元/条-1.5元/条信息不等的价格出售给同案人李某，牟利1万多元，最终被普宁市人民法院以侵犯公民个人信息判处有期徒刑10个月以及并处罚金。

邮政快递信息黑色产业链中，被泄露的数据被不法分子用于电商的空包“刷单”、精准营销、电信诈骗等非法用途，这不仅直接侵害了《个人信息保护法》规定的个人信息主体的合法权益，同时若不法分子利用该信息进行诈骗、刷单等非法用途，也将可能产生侵害个人财产安全和人身安全、以及扰乱社会经济秩序文的后果。因此通过开展专项活动打击侵犯个人信息的违法犯罪行为意义重大。

（二）目标导向

监管部门在邮政快递行业启动专项行动另一目标为以源头治理的方式，敦促企业落实主体责任，规范企业个人信息处理和安全保障行为，以保障关键信息基础设施安全、维护网络安全和提升个人信息保护水平。邮政快递行业涉及公共通信和信息服务，属于关键信息基础设施。该行业的企业掌握种类丰富且数量巨大的个人信息（含敏感个人信息），一旦数据泄露，将可能产生危害国计民生、国家安全和公共利益等不利后果。

根据《网络安全法》和《关键信息基础设施安全保护条例》有关规定，邮政及快递行业属于关键信息基础设施保护的重要行业领域。

快递行业涉及收集用户使用邮政服务过程有关的各类个人信息，在国家推行实名制后，依法收集包括身份信息、地址等敏感个人信息。国家在2015年就推动“收寄验视制度”和“收寄实名制”专项活动，同时于2018年相继颁布并施行了《快递暂行条例》《邮件快件实名收寄管理办法》，要求邮件快递行业在提供寄递服务过程依法核验并登记寄件人的身份信息，同时明确要求寄件人依法提供寄件人姓名、地址、联系电话、收件人姓名、地址、联系电话、寄件物品名称、性质和数量等。

以EMS中国邮政速递物流服务为例，用户通过小程序、APP下单寄送快递时，用户需点击阅读并同意服务协议及隐私保护声明对服务过程收集的个人信息类型和个人信息处理规则进行了说明。

邮政快递行业较早关注用户快递信息安全，同时该领域明确要求企业采取各类措施有效防控用户的快递信息安全。

1987年1月1日首部施行的《中华人民共和国邮政法》（下称“《邮政法》”）提出邮政企业应提供安全的邮政服务同时不得向任何组织或个人提供用户使用邮政业务的情况。《邮政法》2009年第一次修订版中，更是首次提出确保“邮政通信与信息安全”、明令禁止泄露用户使用邮政服务的信息，同时首次明确规定违法提供用户使用邮政服务或快递服务的信息的企业和有关从业人员的违法行为的罚则；《邮政法》2012年修订稿和2015年修订稿（即现行有效版）关于信息安全的内容则基本沿袭了2009年修订稿的内容。

《快递暂行条例》（2019修订）的第四和第五章细化了快递企业提供服务过程应遵循的保障用户信息安全各类义务。其第28条规定企业具有实行全程信息化管理和接受并响应用户对服务质量的投诉义务；第34条规定企业具有建立快递运单及电子数据管理制度、定期销毁运单、采取有效技术手段保障信息安全的义务，以及不得非法提供用户信息和如发生问题后采取补救措施和向管理部门报告的义务；第35条则明确了企业应依法建立安全生产责任制，制定突发事件应急预案并定期开展演练等有关义务。

（一）快递行业的个人信息安全保护痛点

根据北源数据合规团队在数据合规建设项目经验和邮政快递企业的个人信息处理实际情况，该领域出现数据安全风险的主要原因在于以下几点：

1. 快递运单数据的安全管控不足，明文存储、明文展示使用运单数据为数据泄露埋下隐患

快递运单或快递面单，为快递行业在运送货物的过程中用以记录发件人、收件人以及产品重量、价格等相关信息单据，包括快递企业信息系统的电子单据和贴在快递包裹外面的纸质单据。

快递运单的安全管理不善是快递行业数据安全事件的源头之一。许多快递企业未对快递运单数据采取加密、去标识化等技术措施，导致这类集合了用户的姓名、手机号和收寄地址等详细个人信息以明文方式存储于数据库、信息系统，更是以明文方式展示于快递包裹的面单、各个网点或涉及数据管理人员的操作终端界面，例如快递员的快递巴枪屏幕、内部员工、各网点、驿站的员工的电脑屏幕和数据库管理人员的后台信息管理系统或平台中。一旦数据库遭到“脱库”或者运单数据被非法下载或非法收集汇总，不法分子无需做任何解密或分析，即可直接获取有关数据。

2. 快递数据的操作权限管理不当，为数据违规操作和数据泄露等安全事件留下可利用的漏洞

快递企业内部的数据操作权限和账户管理机制粗放，未有效确保数据操作权限的最小必要化，同时怠于开展账号操作审计，未能及时检查和纠正不当的权限操作，这些都是数据泄露等安全事件可利用的漏洞。

基于服务的便利性快递企业一般都为快递员、网点工作人员、合作驿站人员、服务门店人员及总部信息数据库管理员甚至服务过程的外包第三方人员开通涉及快递运单数据的查询、读取等权限的账户，从用户通过APP、小程序进行实名验证并下单，到快递人员上门收件使用巴枪扫描运单二维码录入信息，设置在快递人员上面派送快递核验身份等过程，都涉及到数据查询或读取的场景。开通的账户权限范围过大、一个人多个账户、未及时回收或关闭、“僵尸”账号等账户管理不符合最小必要的例子。前述的圆通内鬼泄密的事件之一也在于权限的管控问题，涉案网点的账户可查询、下载的数据范围过大，让不法分子有机可乘。

3. 安全风险的监测体系和应急措施的有效性不足，未能有效预防和及时响应潜在或已发生的数据安全风险或威胁

安全风险监测体系和应急响应能力和有效性不足也邮政快递企业需重点关注的数据安全合规痛点。鉴于邮政法颁布实施多年，且其明令要求邮政快递企业应制定各类安全制度、采取安全保障措施并定期开展安全事件应急演练等义务，有关邮政快递企业或许都已建立相应的风险体系。但在频发的内鬼事件和越来越严峻的安全风险威胁下，已有措施的效用性和企业实际的合规能力仍需值得重新审视的。许多企业已有的检查体系形同虚设，其安全能力指标无法与潜在的安全风险相匹配，在进行快速检查面临的安全威胁的速度、高效响应并处置安全事件、准确且有效识别正常和异常网络设备资产并进行及时且有效的访问控制和策略的及时调整能力等安全能力指标上，仍有较大的提升空间。因此，关注各类风控措施和体系的有效性，是本次专项活动的关键，确保企业面临内部和外部数据安全威胁时，能及时有效识别风险，有效阻断风险并作出补救响应措施，是重点。

4. 针对人员的安全教育和培训等有效管理不足，内部员工安全意识不足

针对快递从业人员的教育与培训宣贯不到位则是邮政快递企业“内鬼”作案的一个不可忽视的原因。缺少上岗前的信息安全培训、培训过于形式化和培训内容缺乏针对性，是有关个人信息安全培训通病。快递网点等一线快递从业人员未能对泄露并出售公民个人信息的行为给自身带来造成违法犯罪后果，以及该行为将可能对企业、社会和被泄露个人信息的个人所带来的危害性形成正确认知，在利益的驱使下进行非法收集、获取数据并转售给黑产下游人员。

（二）提升邮政快递行业个人信息安全保障水平

1. 开展邮政快递个人信息处理活动遵守法律法规的情况开展排查评估是源头管控和针对性提升保障水平的首要环节。只有明晰个人信息处理目的、方式情况和可能存在的风险或漏洞源头，企业所采取提升个人信息安全提升策略及举措才更针对性。

2.重点提升技术措施和管理措施有效性，通过人防技防和物防多种举措有机组合，建立长效机制：