《报告》将用户个人信息保护工作作为专题予以详述，可谓顺势之为。因个人信息泄露而导致的衍生犯罪已无需赘言，加强刑事打击已经在路上；而针对普通用户所面临的过度收集用户信息、侵犯个人隐私、强制收集使用用户信息等问题，《报告》坦言，“几乎没有受到任何监管和依法惩处”。新技术蓬勃发展的同时，侵犯个人信息的手段也在不断翻新，从内鬼作案、到黑客攻击、再到精准拼凑目标画像，分散的个体确实难以招架。
个人信息数据已成为不少企业的核心资产，权责一致原则即应适用。《报告》在建议部分开门见山提出要加快个人信息保护法立法进程，通过专门立法明确网络运营者对用户信息的保密和保护义务，不当使用、保护不力应当承担责任。《个人信息安全规范》应运而生，作为23项信安标委归口国家标准之一已经发布。此规范以个人信息控制者在收集、保存、使用、共享、转让、公开披露等信息处理环节中的相关行为为重点，剑指个人信息非法收集、滥用、泄漏的乱象，具有较强的操作指导意义，意味着个人信息保护的序幕已经揭开。
具体到企业在个人信息保护中的责任义务，《报告》提出企业应加强安全防护、健全内控制度，因为“检查发现，有的互联网公司和公共服务部门存储了大量公民个人信息，但安防技术严重滞后，容易被不法分子窃取和盗用”，并且“一些单位内控制度不完善或不落实，少数“内鬼”为牟取不法利益铤而走险，致使用户信息大批量泄露”。利用网络非法采集、窃取、贩卖和利用用户信息所形成的黑色产业链的重要源头即在于个人信息控制者安防意识、安防能力、技术水平的普遍不足。
2017年9月，联想因预装可能给用户安全造成威胁的软件而与美国FTC（联邦贸易委员会）和解并同意支付350万美元。此案或许可以就涉及接触个人信息时的合规操作给中国企业带来一些启示。案涉预装软件的开发方并非联想，而是一家第三方公司Superfish。一方面，Superfish所开发的软件为更好地展示弹出广告而置用户安全于不顾；另一方面，该软件在用户不知情的情况下接入了包括用户社会安全号（SSN）在内的敏感信息，虽然真正被Superfish收集的只有浏览网页和用户IP地址等信息。联想“没有评估并处理预装在其电脑的第三方软件所造成的安全风险而未能发现该等安全隐患”，最终受到行政处罚。除支付和解金外，联想被要求在预装此类软件时必须获得用户明示同意，同时还被要求就安装在其电脑上的大部分预装软件开展为期20年的全面软件安全保护项目且该项目需接受第三方审计。
除了遭遇刑事或行政执法，不当处理个人信息还有可能引发民事诉讼、触发危机事件、损害公司声誉，其为安全稳健地商业运营所带来的负面影响可能远远超出法律责任的想象。这是由个人信息的敏感性和大众性所决定的。中国社会传统上对于个人信息（隐私）的披露包容度较高，一定程度上也为大数据的蓬勃发展提供助推，但业界应当已经注意到从政策到观念的悄然变化。例如，2018年1月2日，南京市中级人民法院正式立案了江苏省消费者权益保护委员会就百度涉嫌非法获取消费者个人信息问题提起的民事公益诉讼。不同于一般民事诉讼，此案一经立案即广受瞩目且对公司的经营构成影响，因为在消费者不知不觉中“监听电话、定位、读取短彩信、读取联系人、修改系统设置”所带来的不适感比较容易在人群中引起共鸣，且并非所有的公众都能够理性地等待法院的审理结论。
