领导让你找几个数据安全法、个人信息保护法的违法案例做合规参考，你搜出来一堆标题党，看完也不知道跟自己业务有什么关系。这篇给一套可执行的查案思路：先去哪些站内页面把法律条文口径对齐，再按行业和违法环节筛案例，最后把案例翻成自家能用的检查项。适用于要给团队做合规培训或写内部参考材料的场景；只想搞清两部法律区别的，看站内其它文章更省事。
领导让你找几个数据安全法、个人信息保护法的违法案例做合规参考，你搜出来一堆标题党，看完也不知道跟自己业务有什么关系。这篇给一套可执行的查案思路：先把法律口径对齐，再按行业和违法环节筛案例，最后把案例翻成自家能用的检查项。
这套方法适用于要给团队做合规培训、写内部参考材料、或者自己先摸底判断风险的场景。如果你只是想搞清两部法律分别管什么、谁管谁，那看案例效率很低，先去站内安全与合规分区把条文口径读顺更省事。
先分清要找的是案例还是条文解读
很多人搜「违法案例」，点进去发现是法律解读文章，通篇讲立法背景，没有一个真实处罚情节。这种材料用来理解制度可以，用来做内部培训会被同事问住。所以第一步不是找案例，是先明确你要的是「哪个环节出事、被怎么认定」。
- 案例的价值在违法环节和认定逻辑，不在罚款数字。数字会变、各地口径也不同，要看就到站内 /news/daily 跟当时的官方通报核对。
- 想搞清两部法律管什么、谁管事，先看站内 /safety 的安全与合规分区，以及 /ai-dict/category/safety 的术语对照，别拿案例当法条读。
- 按用途分流：培训用挑情节清楚的案例，内部整改用挑与自己业务链条重合的，写材料用挑有官方通报出处的。
案例从哪几个口子找，按可信度排序
案例来源的可信度差别很大，建议按下面的顺序找，不要一上来就看二手解读。第一梯队是有明确违法事实描述和依据条款的官方通报与处罚决定；第二梯队是公开裁判文书，适合看责任怎么划分；第三梯队是行业报告和律所解读，用来快速定位高发环节。
| 来源梯队 | 适合回答的问题 | 注意什么 |
|---|---|---|
| 官方通报与处罚决定 | 发生了什么、依据哪条认定 | 有明确事实描述，引用时保留出处 |
| 公开裁判文书 | 责任在谁、怎么划分 | 周期较长，看的是认定思路 |
| 行业报告与律所解读 | 哪类业务高发、怎么防 | 作为线索用，结论回到原始通报核对 |
| 站内资讯与专题 | 近期合规动向、监管关注点 | 用来决定往哪个方向深挖 |
站内可以先从 /news/daily 和 /papers 类内容跟一下近期动向，再决定深挖方向。查完一轮把原始出处和查阅时间记下来，下次复核不用重新找。
读案例时盯哪几个字段，别只记结论
案例读得快的人，是把它当成一个结构化记录在读，而不是当故事读。建议固定看四个字段：主体身份、违法环节、认定依据、处理结果。前三个决定这条案例对你有没有参考价值，最后一个只做了解。
- 主体身份
- 是数据处理者、受托处理方还是平台方，身份不同义务不同，照抄结论容易错。
- 违法环节
- 收集时有没有告知同意、存储有没有超期、对外提供有没有评估、出事后有没有报告。
- 认定依据
- 写的是哪部法哪一条，两部法交叉的场景很常见，别硬套单一法律。
- 处理结果
- 看处理类型和整改要求，具体数字到 /news/daily 的官方通报核对。
有一个不适用的情况要提前说清楚：跨境传输、关键信息基础设施、国家核心数据这几类案件，管辖和门槛都比较特殊。普通企业拿它们做对标，只能参考认定思路，不能直接照搬处罚力度，否则会把内部风险等级定得过高。
把案例翻成自家能动手的检查项
- 每个案例提取一条自查问题比如有没有留存告知同意的记录、有没有约定数据留存期限、向外提供前有没有做过评估。提取完打上对应环节标签。
- 按风险高低排优先级先查对外提供和第三方共享，再查内部权限和访问日志，最后查留存与删除。顺序反了容易在小事上耗时间。
- 确定自查还是请外部审计参考站内 /personal-info-audit-triggers 里关于什么情况下必须做审计的判断，决定这轮是自己过一遍还是走外部流程。
- 落到人和时间每条检查项写清谁负责、什么时候交结果，否则清单只会停在文档里。
- 输出半页纸的内部参考注明案例来源和查阅时间，结论写「已覆盖 / 待确认 / 不适用」三档，方便下次复核。
这套动作做完，你手上就不是一堆案例标题，而是一张能直接开会用的检查表。需要对照当前各家服务在合规披露上的差异，可以去 /sites 和 /rankings 看当时的页面信息，数字和状态以站内实时展示为准。
常见问题
有没有一个汇总所有违法案例的官方数据库？
没有统一入口。可行的做法是按监管层级和行业分头找：地方监管部门官网的处罚公示、行业主管部门的通报、法院裁判文书公开平台，各查一轮再交叉。汇总类文章可以当线索，但引用前一定回到原始通报核对事实和依据，否则容易把不同案子的情节拼混。
案例里的罚款金额能直接当合规预算的依据吗？
不建议。罚款金额受违法情节、整改态度、是否主动报告等多重因素影响，个案差异很大，还有从重从轻的空间。你现在看到的具体数额只能说明量级，真要评估自家风险敞口，应该结合自身的数据规模、敏感程度和业务范围去看，案例只用来提示「哪些环节会被认定违法」。
我们公司业务很小，也需要对着这些案例做自查吗？
规模小不等于不适用，个人信息保护相关的义务对绝大多数处理个人信息的主体都成立，只是监管关注度和处罚力度不同。小团队更现实的做法是把动作收窄：确认收集时告知到位、数据别乱对外提供、离职人员权限及时回收、出事有报告路径，这几条做扎实，比背案例清单有用。
