某互联网企业推出新型校园招聘平台，要求毕业生用户上传身份证、学籍信息、家庭背景等数据以完成“AI智能匹配岗位”功能。

运营半年后，平台因安全漏洞导致10万用户信息泄露，第三方分析显示企业未对敏感信息加密，也未明确告知用户数据处理的具体目的。

请结合《个人信息保护法》，分析以下问题：

1. 企业违法行为及责任‌

• ‌违法性分析‌：
• 违反“最小必要原则”（第6条）：收集家庭背景等非招聘必要信息，超出实现目的范围。
• 违反“告知义务”（第17条）：未明确说明数据用于AI匹配的具体规则及可能影响。
• 违反“安全保障义务”（第51条）：未对身份证等敏感信息加密，技术措施缺失。
• ‌法律责任‌：
• 行政责任：履行个人信息保护职责的部门可责令改正、没收违法所得、处百万以下罚款（第66条）；
• 民事责任：用户可主张侵权损害赔偿（第69条过错推定责任）；
• 刑事责任：若拒不改正且造成严重后果，相关责任人可能涉嫌《刑法》第253条之一。

‌2. 第三方外包责任划分‌

• 企业作为委托方，仍对个人信息处理活动负主体责任（第21条），需对外包公司进行全流程审计监督；
• 若外包合同约定安全义务但未落实，企业与外包公司承担连带责任（第20条）；
• 外包公司若存在故意破坏数据安全行为，单独承担刑事及民事侵权责任。

‌3. 合规机制构建建议‌

• ‌风险预防维度‌：
• 建立“数据分类分级”制度，对身份证号等敏感信息实施加密、去标识化；
• 部署“隐私影响评估”（PIA）机制，在AI算法开发前评估数据滥用风险。
• ‌业务融合维度‌：
• 设计“隐私友好型”产品（如默认隐藏非必要字段、提供“一键脱敏”简历功能）；
• 将合规成本转化为竞争力（如取得个人信息保护认证，增强用户信任）。
• ‌生态协同维度‌：
• 与第三方签订DPA（数据处理协议），明确安全审计与违约退出条款。