《个人信息保护法（草案）》逐条解读

2020年10月21日，全国大人常委会法工委发布了《中华人民共和国个人信息保护法（草案）》征求意见稿（以下简称“《个人信息保护法》”），就个人信息保护有关的立法问题向社会公开征求意见。在得到业内人士广泛响应的同时，我们认为这部法律的出台可谓意义重大，甚至将2020年称之为我国个人信息保护立法元年都不为过。

长期以来，我国虽在不断出台有关个人信息保护的立法文件，但从没有一部法律法规能够如此系统及全面地对个人信息保护相关问题进行专门性立法。从现有颁布的法律来看，包括《民法典》、《刑法》、《电子商务法》、《网络安全法》、《消费者权益保护法》以及《广告法》等虽有部分内容与个人信息保护的话题相契合，但在社会实践中，这些法律的适用大多规定的较为原则，并不能满足人民群众对个人信息保护的各类迫切需求。此外，纵观其他法规及规范性文件，例如《关于加强网络信息保护的决定》、《电信和互联网用户个人信息保护规定》、《信息安全技术个人信息安全规范》（GB/T 35273—2020）等规定，虽然在律师办案中起到着极强的合规参考价值，但其同时也存在着一定的滞后性，并不能够适应各类互联网企业的合规需要。在我国个人信息保护立法长期并不完善的大背景下，近年来，对个人信息滥用的案例不断涌现，对司法及行政监管部门也带来了较大挑战。终于，在千呼万唤中，这部《个人信息保护法》被推上历史舞台，等待它挥洒出绚烂夺目的篇章。

《个人信息保护法》全文涵盖了八章，七十条的内容。分别为总则、个人信息处理规则、个人信息跨境提供的规则、个人在个人信息处理活动中的权利、个人信息处理者的义务、履行个人信息保护职责的部门、法律责任和附则。在这些看似枯燥的法条中，其实蕴涵着立法者对人脸识别、人肉搜索、数据跨境传输、自动化决策、信息脱敏等热点问题的对策及解答。此外，《个人信息保护法》还对行政监管和个人信息保护之间的原则及边界问题进行了规定。总的来说，我们认为《个人信息保护法》吸取了来自世界各国和各地区的先进经验。与此同时，其结合了我国国情及长期以来面对的各类困难，使得自然人个体、互联网企业、国家安全和公共利益、跨境传输技术要求以及国际上通行的惯例等达到了一定的平衡，进而制定了这部法律。《个人信息保护法》的出台，一方面对我国国内互联网企业的合规提出了新的期待，另一方面也对我国政府监管提出了更高要求。因此，借着《个人信息保护法》征求意见稿颁布后的空档期，我们建议有需求的互联网企业通读这部法律，并及时按照法律规定调整合规模式，尽可能补齐自身经营上的短板，使得公司在个人信息保护层面面临的法律风险更为可控。我们也将结合律师实务工作，对《个人信息保护法》进行逐条解读，以期供各方深入学习和交流。

中华人民共和国个人信息保护法（草案）

第一章  总   则

第一条 为了保护个人信息权益规范个人信息处理活动,保障个人信息依法有序自由流动,促进个人信息合理利用,制定本法。

【解读】本条开宗明义，明确了《个人信息保护法》的立法目的和宗旨，即通过立法的形式，促进个人信息合法、合规、合理利用，并确保其具备一定流动性。

第二条 自然人的个人信息受法律保护,任何组织、个人不得侵害自然人的个人信息权益。

【解读】“个人信息保护”的相关内容在《民法典》第四编“人格权”中的第六章有所体现，《民法典》将第六章命名为“隐私权和个人信息保护”，足见“个人信息保护”的法律地位之高以及立法者对其重视程度之深。本条与《民法典》第一千零三十四条相一致，将自然人的个人信息列为了法律保护的范畴予以调整。

第三条 组织、个人在中华人民共和国境内处理自然人个人信息的活动,适用本法。

在中华人民共和国境外处理中华人民共和国境内自然人个人信息的活动,有下列情形之一的,也适用本法:

(一)以向境内自然人提供产品或者服务为目的;

(二)为分析、评估境内自然人的行为;

(三)法律、行政法规规定的其他情形。

【解读】本条阐明了《个人信息保护法》的适用范围，明确了域外适用的效力，即通过最密切联系原则确立了三项连结点，其与欧盟《通用数据保护条例》（General Data Protection Regulation，以下简称“GDPR”）第三条中的指向性和监管性要求相类似。

第四条 个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息,不包括匿名化处理后的信息。

个人信息的处理包括个人信息的收集、存储、使用、加工、传输、提供、公开等活动。

【解读】本条明确了“个人信息”以及“个人信息的处理”的范围和定义。对于“个人信息”而言，在实践中，各国都有各自不同的理解和定义，例如德国《联邦数据保护法》就言简意赅的认为“个人信息”指的就是信息主体的信息。此外，经济合作与发展组织颁布的《关于保护隐私与个人数据跨境流动的指南》中也规定了“个人信息”指的是“任何与已识别或可识别的数据主体有关的信息”。《个人信息保护法》将“识别和关联”作为个人信息的定义方式，借鉴了欧盟GDPR的做法，明确了这部法律所调整的范畴，使得司法实践在对“个人信息”认定方面更为准确。另外需要说明的是，将“已识别”和“可识别”作为“个人信息”的判断标准，使得“个人信息”的界定更为科学，而将“匿名化处理的信息”排除在外，也是保障个人信息的一种有效体现。对于“个人信息的处理”而言，《个人信息保护法》与《网络安全法》规定的较为一致。

第五条 处理个人信息应当采用合法、正当的方式,遵循诚信原则,不得通过欺诈、误导等方式处理个人信息。

【解读】本条是有关个人信息处理中的合法性和正当性要求。《网络安全法》第四十一条规定了网络运营者收集、使用个人信息，应当遵循合法、正当、必要的三大原则。但是本条内容仅涵盖了合法性和正当性，而将必要性作为第六条的规定进行单列，可见其重要意义。所谓合法性，指的是在个人信息处理过程中，需要符合法律法规的要求，禁止通过植入恶意软件等非法手段收集、存储、使用、加工、传输、提供、公开个人信息。所谓正当性，指的是在个人信息处理过程中，需要采取例如“明示+同意”的正当形式收集、存储、使用、加工、传输、提供、公开个人信息。

第六条 处理个人信息应当具有明确、合理的目的,并应当限于实现处理目的的最小范围,不得进行与处理目的无关的个人信息处理。

【解读】本条是有关个人信息处理中的目的性和必要性要求。所谓目的性，指的是在个人信息处理过程中，需要符合一定的合理目的，且该目的需要具备较为明确的要素，同时需要注意该目的性的要求应当与企业自身所提供的商品和服务具有一定的关联性。所谓必要性，指的是在个人信息处理过程中，需要收集与企业自身经营活动密切相关的个人信息，不得收集无关且多余的个人信息。实践中，大量企业违规收集个人信息，甚至收集与其提供商品或服务无关的个人信息，这些行为都是被禁止的。

第七条 处理个人信息应当遵循公开、透明的原则,明示个人信息处理规则。

【解读】除合法性、正当性和必要性外，本条还明确了个人信息处理的公开、透明原则。本条在《民法典》第一千零三十五条第一款第二项的基础上，增加了透明原则，要求个人信息处理的方式方法必须公开、透明，以便随时受到社会公众的监督。

第八条 为实现处理目的,所处理的个人信息应当准确,并及时更新。

【解读】本条明确了个人信息处理的准确性，并提出了及时更新的要求。本条与欧盟GDPR第五条第一款（d）项的规定较为类似，即要求个人信息处理的及时性及准确性。在商业运作中，要求企业及时更新个人信息，使得处理所得的数据较为精确。同时，从侧面也赋予了个人随时修改自身信息的权限。

第九条 个人信息处理者应当对其个人信息处理活动负责,并采取必要措施保障所处理的个人信息的安全。

【解读】本条明确了“谁处理，谁负责”的原则，将责任落实到人有助于损害赔偿及追责，该条也与《网络安全法》第四十二条的规定相一致。

第十条 任何组织、个人不得违反法律、行政法规的规定处理个人信息,不得从事危害国家安全、公共利益的个人信息处理活动。

【解读】本条通过立法的形式，明确禁止行为人从事危害国家安全、公共利益的个人信息处理活动，违者将面临刑事追责的风险。

第十一条 国家建立健全个人信息保护制度,预防和惩治侵害个人信息权益的行为,加强个人信息保护宣传教育,推动形成政府、企业、相关行业组织、社会公众共同参与个人信息保护的良好环境。

【解读】本条明确了国家依法整治互联网及维护个人信息保护良好环境的决心，确立了个人信息保护工作的基本原则。其中，建立健全个人信息保护制度的要求，对互联网企业的数据合规提出了更高要求。

第十二条 国家积极参与个人信息保护国际规则的制定,促进个人信息保护方面的国际交流与合作,推动与其他国家、地区、国际组织之间的个人信息保护规则、标准等的互认。

【解读】本条明确了我国与其他国家间在个人信息保护领域的国际合作关系，对推动信息保护规则和标准的国际互认意义重大。《个人信息保护法》借鉴了欧盟的《避风港协议》和《隐私盾协议》的做法，深化国际交流合作，在提升个人信息保护技术的同时，为我国与他国间的跨境数据自由流转提供土壤，进而促进我国互联网企业的蓬勃发展。

第二章  个人信息处理规则

第一节  一般规定

第十三条 符合下列情形之一的,个人信息处理者方可处理个人信息:

(一)取得个人的同意;

(二)为订立或者履行个人作为一方当事人的合同所必需;

(三)为履行法定职责或者法定义务所必需;

(四)为应对突发公共卫生事件,或者紧急情况下为保护自然人的生命健康和财产安全所必需;

(五)为公共利益实施新闻报道、舆论监督等行为在合理的范围内处理个人信息;

(六)法律、行政法规规定的其他情形。

【解读】虽然“告知和同意原则”的适用是个人信息保护中一项难以绕开的话题，但是单纯依靠该原则进行狭义适用，势必难以适应日常生活中各类复杂的应用场景，容易造成互联网企业遭受不公正待遇。本条在《民法典》第一千零三十五条以及《网络安全法》第四十二条要求“取得个人同意”的基础上罗列了其他几种处理个人信息的合法情形，对“告知和同意原则”进行了一定程度的延伸，为个人信息的处理提供了多样化的选择路径。此外，考虑到新冠疫情等突发公共卫生事件等客观因素，将紧急情况作为个人信息处理的合法要素纳入考量，更符合政府监管及互联网企业的现实需要。

第十四条 处理个人信息的同意,应当由个人在充分知情的前提下,自愿、明确作出意思表示。法律、行政法规规定处理个人信息应当取得个人单独同意或者书面同意的,从其规定。

个人信息的处理目的、处理方式和处理的个人信息种类发生变更的,应当重新取得个人同意。

【解读】本条明确了“明示同意”、“授权同意”以及“重新取得同意”三种情形的适用规则。关于“明示同意”。显然，本条是《个人信息保护法》在《信息安全技术个人信息安全规范》（GB/T35273-2020）的基础上进行的细化。我们认为本条中的“充分知情”是个人信息处理正当性原则的一种直观表现。实务中，我们一般会建议互联网企业通过加粗、下划线、斜杠等形式清晰提示用户相关内容。此外，明确作出意思表示实则是《信息安全技术个人信息安全规范》（GB/T35273-2020）注重“明示同意”的一种体现。关于“授权同意”。可以结合《个人信息保护法》第三十条的相关内容，即当在处理敏感个人信息时，应当视情形采用“单独同意”或“授权同意”的形式。需要注意，此处的“单独同意”需要同时满足“明示同意”的要求，而“授权同意”也必须符合“书面同意”的形式要件。关于“重新取得同意”。当“个人信息的处理目的、处理方式和处理的个人信息种类发生变更的”，我们认为，这种情形属于个人信息处理过程中的重大变更，倘若按照原有的授权实则可能会侵害他人合法权益，因此法律规定了需要“重新取得同意”。

第十五条 个人信息处理者知道或者应当知道其处理的个人信息为不满十四周岁未成年人个人信息的,应当取得其监护人的同意。

【解读】本条的制定符合了国际法上的要求，重点关注未成年人信息的保护和安全。需要注意本条在实际适用过程中，需要与《个人信息保护法》等十三条、第十四条等同时适用，即处理未满十四周岁未成年人信息的，应当取得其监护人的同意，并同时满足其他条款所规定的情形。

第十六条 基于个人同意而进行的个人信息处理活动,个人有权撤回其同意。

【解读】本条需重点关注法律赋予个人的“撤销权”。需要注意的是，本条所规定的“个人撤销权”仅仅是基于第十三条第一款情形下予以适用，除此之外法律并未授权个人此权限。这就要求互联网企业在线上必须架设撤销端口，供个人撤销其授权。但这并不影响其为个人提供的服务受限，互联网企业可以修改《注册协议》对该事由予以明示。

第十七条 个人信息处理者不得以个人不同意处理其个人信息或者撤回其对个人信息处理的同意为由,拒绝提供产品或者服务;处理个人信息属于提供产品或者服务所必需的除外。

【解读】本条明确了不得因个人拒绝或撤回个人信息的处理授权，进而拒绝提供相应商品或服务。本条规定与《数据安全管理办法》（征求意见稿）第十一条的规定如出一辙，系个人信息处理必要性的直观体现。

第十八条 个人信息处理者在处理个人信息前,应当以显著方式、清晰易懂的语言向个人告知下列事项:

(一)个人信息处理者的身份和联系方式;

(二)个人信息的处理目的、处理方式,处理的个人信息种类、保存期限;

(三)个人行使本法规定权利的方式和程序;

(四)法律、行政法规规定应当告知的其他事项。

前款规定事项发生变更的,应当将变更部分告知个人。

个人信息处理者通过制定个人信息处理规则的方式告知第一款规定事项的,处理规则应当公开,并且便于查阅和保存。

【解读】本条规定了个人信息处理者在处理个人信息前所需披露事项。本条内容多体现在互联网企业的《隐私权政策》中，即在处理任何情形下取得的个人信息时，都需按本条规定对披露的时间、方式及内容进行相应调整。实务中，互联网企业只要根据自身所制定的个人信息处理规则的方式，按照相应要求如实修订相关协议即可。但需要注意满足“便于查阅和保存”的要求。通常来说，我们建议互联网企业就其修订的历史规则全部予以公示，至于公示的形式可以根据相应规则进行调整。

第十九条 个人信息处理者处理个人信息,有法律、行政法规规定应当保密或者不需要告知的情形的,可以不向个人告知前条规定的事项。

紧急情况下为保护自然人的生命健康和财产安全无法及时向个人告知的,个人信息处理者应当在紧急情况消除后予以告知。

【解读】本条是有关个人信息处理前告知豁免的两种情形。第一种情况最为典型的是根据《中华人民共和国反恐怖主义法》第五十一条的规定，即公安机关在调查恐怖活动的案件中，可以获得事先告知豁免。第二种情况是针对《个人信息保护法》等十三条第四款的补充规定，即在发生紧急情况时，可以不事先告知个人信息处理的相关内容，但在紧急情况消除后应当予以告知。

第二十条 个人信息的保存期限应当为实现处理目的所必要的最短时间。法律、行政法规对个人信息的保存期限另有规定的,从其规定。

【解读】本条是对个人信息保存期限的规定。《个人信息保护法》并没有通过固定期限来限定个人信息的保存时间，而是根据必要性的要求，规定在满足处理目的后，尽快予以删除。这就需要互联网企业制定相应内部合规制度，就个人信息的存储及删除时间进行明确规定。与此同时，本条也设置了兜底条款，常见的法律、法规另有规定的情形包括：①《反洗钱法》第十九条第三款，“客户身份资料在业务关系结束后、客户交易信息在交易结束后，应当至少保存五年”；②《电子商务法》第三十一条，“电子商务平台经营者应当记录、保存平台上发布的商品和服务信息、交易信息，并确保信息的完整性、保密性、可用性。商品和服务信息、交易信息保存时间自交易完成之日起不少于三年；法律、行政法规另有规定的，依照其规定。”

第二十一条 两个或者两个以上的个人信息处理者共同决定个人信息的处理目的和处理方式的,应当约定各自的权利和义务。但是,该约定不影响个人向其中任何一个个人信息处理者要求行使本法规定的权利。

个人信息处理者共同处理个人信息,侵害个人信息权益的,依法承担连带责任。

【解读】本条明确了个人信息处理者共同处理信息的权利义务划分和责任承担。在实践中，存在着大量授权第三方处理个人信息的情形。本条基于这一现象，在原有《信息安全技术个人信息安全规范》（GB/T35273-2020）第9.6条的基础上进行了细化，明确了各方所应遵循的权利义务，即无论内部如何约定，任何一方对外均需要符合法律的规定。在责任承担方面，《个人信息保护法》规定了最为严格的连带责任，即将共同信息处理致使他人受损的情形，视为是一种共同侵权行为，进而严厉打击可能存在的违法违规行为。

第二十二条 个人信息处理者委托处理个人信息的,应当与受托方约定委托处理的目的、处理方式、个人信息的种类、保护措施以及双方的权利和义务等,并对受托方的个人信息处理活动进行监督。

受托方应当按照约定处理个人信息,不得超出约定的处理目的、处理方式等处理个人信息,并应当在合同履行完毕或者委托关系解除后,将个人信息返还个人信息处理者或者予以删除。

未经个人信息处理者同意,受托方不得转委托他人处理个人信息。

【解读】本条所规范的是委托第三方处理个人信息的情形，其与欧盟GDPR第二十八条较为类似。需要注意的是，本条与第二十一条可能存在一定的重合，即委托人如果同时存在个人信息处理的情况下，其应当同时满足本法第二十一条和第二十二条的要求。但当其自身并不处理个人信息时，其应当满足本条的规定。此外，根据本条规定，委托方需要注意授权的范围，并确保受托方在授权的范围内行使相应职责。倘若由于故意或者重大过失导致其未能监管到位，可能存在被处罚及诉讼风险。对于受托方而言，其需要注意不能超出授权范围行事，在委托关系结束时，应当全面删除或者返还相关个人信息，由于其自身原因造成信息泄露或侵权的，则可能会被被侵权人要求赔偿，也可能据此承担相应违约责任。最后，同房屋租赁中承租人不当然享有转租权一样，个人信息的处理授权并不当然包含转委托，这一点需要予以重视。

第二十三条 个人信息处理者因合并、分立等原因需要转移个人信息的,应当向个人告知接收方的身份、联系方式。接收方应当继续履行个人信息处理者的义务。接收方变更原先的处理目的、处理方式的,应当依照本法规定重新向个人告知并取得其同意。

【解读】本条是关于个人信息承继的规范。众所周知，公司在开设之后可能面临被兼并、收购、分立等情形，因此《个人信息保护法》规定了公司因合并、分立等原因需要转移个人信息的相应规范。首先需要明确的是，本条并非规定的是将个人信息转移给第三人，我们认为是个人信息承继的一种规范。根据法条字面意思，当公司出现合并和分立需要转移个人信息的，合并和分立后的公司只需要履行通知义务即可，而无需另行获得相应授权。只有按照第十四条规定，当“接收方变更原先的处理目的、处理方式的”,才会需要向个人“取得同意”。

第二十四条 个人信息处理者向第三方提供其处理的个人信息的,应当向个人告知第三方的身份、联系方式、处理目的、处理方式和个人信息的种类,并取得个人的单独同意。接收个人信息的第三方应当在上述处理目的、处理方式和个人信息的种类等范围内处理个人信息。第三方变更原先的处理目的、处理方式的,应当依照本法规定重新向个人告知并取得其同意。

个人信息处理者向第三方提供匿名化信息的,第三方不得利用技术等手段重新识别个人身份。

【解读】本条明确了向第三方提供个人信息的具体要求。本条与第二十三条的本质区别在于获取个人信息的主体是否为第三方，如果获取个人信息的主体为第三方，则按照《个人信息保护法》的立法精神，显然需要履行“告知和同意原则”。需要注意的是，根据《网络安全法》第四十二条的规定：“网络运营者不得泄露、篡改、毁损其收集的个人信息；未经被收集者同意，不得向他人提供个人信息。但是，经过处理无法识别特定个人且不能复原的除外。”因此，向第三方提供匿名化信息属于例外情形，无需事先经过个人的同意，但第三方不得利用技术等手段重新识别个人身份。

第二十五条 利用个人信息进行自动化决策,应当保证决策的透明度和处理结果的公平合理。个人认为自动化决策对其权益造成重大影响的,有权要求个人信息处理者予以说明,并有权拒绝个人信息处理者仅通过自动化决策的方式作出决定。

通过自动化决策方式进行商业营销、信息推送,应当同时提供不针对其个人特征的选项。

【解读】本条是针对人工智能中自动化决策的规范，其与欧盟GDPR中的第二十二条相类似。此外，我国《信息安全技术个人信息安全规范》（GB/T35273-2020）第7.5条（b）项和《电子商务法》第十八条也有类似规定。根据《电子商务法》第十八条规定，“电子商务经营者根据消费者的兴趣爱好、消费习惯等特征向其提供商品或者服务的搜索结果的，应当同时向该消费者提供不针对其个人特征的选项，尊重和平等保护消费者合法权益。”可见，在适用自动化决策的过程中，互联网公司需要同时设置不针对其个人特征的选项，以保证交易的公平性。

第二十六条 个人信息处理者不得公开其处理的个人信息;取得个人单独同意或者法律、行政法规另有规定的除外。

【解读】本条规定了个人信息处理应当“以不公开原则，以公开为例外”。个人信息的处理仅需获得个人同意即可，因此，为降低个人信息权益受侵犯的风险，其处理原则应当“以不公开原则，以公开为例外”。除非个人就个人信息的公开“单独同意”或者有法可依的情况下，其他一律应当通过技术手段予以保密。

第二十七条 在公共场所安装图像采集、个人身份识别设备,应当为维护公共安全所必需,遵守国家有关规定,并设置显著的提示标识。所收集的个人图像、个人身份特征信息只能用于维护公共安全的目的,不得公开或者向他人提供;取得个人单独同意或者法律、行政法规另有规定的除外。

【解读】本条是个人信息处理过程中所涉“国家安全和公共利益”的相关规定。基于“公共安全”的需要，可以对个人进行身份识别，但仍应符合第二十六条的规定，一般不得将所获个人信息进行公开或者向第三方提供。需要明确指出的是，此处并未将安装图像采集的主体限定为国家机关，因此只要是以维护“公共安全”为目的的主体，均可就个人身份进行识别，但需符合相应的保密规定。

第二十八条 个人信息处理者处理已公开的个人信息,应当符合该个人信息被公开时的用途;超出与该用途相关的合理范围的,应当依照本法规定向个人告知并取得其同意。

个人信息被公开时的用途不明确的,个人信息处理者应当合理、谨慎地处理已公开的个人信息;利用已公开的个人信息从事对个人有重大影响的活动,应当依照本法规定向个人告知并取得其同意。

【解读】本条是对已公开个人信息用途的规范，或将认定“人肉搜索”系违法行为。相较于《民法典》第一千零三十六条第二项规定的“合理处理该自然人自行公开的或者其他已经合法公开的信息，但是该自然人明确拒绝或者处理该信息侵害其重大利益的除外”，本条看似更为宽泛，但实则是在《民法典》的基础上进行了有效补充，两者在法律适用上其实并不存在任何障碍。就本条理解，只要个人信息是行为人自行公开的，当个人信息处理者满足其公开时的用途，即可直接使用该公开的个人信息。此外，超出原始用途合理范围内的，则需要重新履行“告知和同意原则”。当个人信息公开时的用途并不明确时，个人信息处理者需要合理、谨慎地处理已公开的个人信息。在个人信息公布的用途不明，且同时存在利用已公开的个人信息从事对个人有重大影响的活动时，就不得对个人信息进行处理，除非履行了“告知和同意原则”。此外，针对《民法典》第一千零三十六条第二项中的另一例外情况，即“该自然人明确拒绝”，我们认为实则是一种“撤销权”的表现形式，即与《个人信息保护法》第十三条的规定不谋而合，即无论个人信息公布时的用途是否明确，个人均有随时行使“撤销权”的权利。

第二节  敏感个人信息的处理规则

第二十九条 个人信息处理者具有特定的目的和充分的必要性,方可处理敏感个人信息。

敏感个人信息是一旦泄露或者非法使用,可能导致个人受到歧视或者人身、财产安全受到严重危害的个人信息,包括种族、民族、宗教信仰、个人生物特征、医疗健康、金融账户、个人行踪等信息。

【解读】本条是有关处理敏感个人信息的定义和规范要求。具体而言，本条是对《个人信息保护法》第六条的深化。本条在第六条处理个人信息要求具备“明确且合理目的”的基础上，提出了更高的要求，即个人信息处理者需要满足“特定目的+充分必要”的规范化要求。这就意味着个人信息处理者应当本着更为严格和谨慎的态度处理敏感个人信息。此外，根据《数据安全管理办法》（征求意见稿）第十五条的规定，“网络运营者以经营为目的收集重要数据或个人敏感信息的，应向所在地网信部门备案。”可见，虽然敏感个人信息与重要数据是政府监管的重点，但是二者的概念各不相同。根据《个人信息和重要数据出境安全评估办法》（征求意见稿）的相关规定，重要数据是指与国家安全、经济发展，以及社会公共利益密切相关的数据。针对重要数据具体的识别方式，我国的《重要数据的识别指南》尚在立法推进过程中。

第三十条 基于个人同意处理敏感个人信息的,个人信息处理者应当取得个人的单独同意。法律、行政法规规定处理敏感个人信息应当取得书面同意的,从其规定。

【解读】本条是有关个人同意以及依法获取处理敏感个人信息权限的规范要求。当在处理敏感个人信息时，应当视情形采用“单独同意”或“授权同意”的形式。需要注意，此处的“单独同意”需要同时满足“明示同意”的要求，而“授权同意”也必须符合“书面同意”的形式要件。具体详见第十四条的解析。此外，根据《网络交易监督管理办法》（征求意见稿）第十一条规定，“网络交易经营者收集、使用生物识别信息、健康信息、财产信息、社交信息等敏感信息的，应当逐项取得被收集者授权同意”。可见，对敏感个人信息的处理有别于一般信息，“单独同意”需要逐项授权。

第三十一条 个人信息处理者处理敏感个人信息的,除本法第十八条规定的事项外,还应当向个人告知处理敏感个人信息的必要性以及对个人的影响。

【解读】本条明确了对处理敏感个人信息的告知义务。在《个人信息保护法》第十八条的基础上，针对敏感个人信息的处理需要进一步告知必要性和对个人的影响。鉴于互联网企业广泛存在收集敏感个人信息的情形，因此，建议互联网企业在《隐私权政策》中对本条内容进行补充。需要提示注意的是，“告知对个人的影响”建议可通过列举或概述的形式进行，尽量穷尽。

第三十二条 法律、行政法规规定处理敏感个人信息应当取得相关行政许可或者作出更严格限制的,从其规定。

【解读】本条是对处理敏感个人信息的特殊限制性措施。目前，我国法律尚无要求敏感个人信息处理需要获得相关行政许可或者备案，本条的制定系为将来可能存在的这一监管措施留有余地。

第三节  国家机关处理个人信息的特别规定

第三十三条 国家机关处理个人信息的活动适用本法;本节有特别规定的,适用本节规定。

【解读】本条明确了《个人信息保护法》调整的对象包括国家机关。国家机关在处理个人信息的过程中实则也包括了民事法律关系的体现，因此本节如有特殊规定的，从特殊规定。若无特殊规定的，即使是国家机关，也需要同互联网企业一样，遵守《个人信息保护法》的相关规定。

第三十四条 国家机关为履行法定职责处理个人信息,应当依照法律、行政法规规定的权限、程序进行,不得超出履行法定职责所必需的范围和限度。

【解读】本条规定了国家机关履行法定职责规范中处理个人信息的要求。这一条款是国家机关在处理个人信息时履行职责必要性的体现，有助于遏制“借公权力为名，行滥用个人信息之实”的现象，规范国家机关处理个人信息的实体和程序，以保障公民的合法权益。

第三十五条 国家机关为履行法定职责处理个人信息,应当依照本法规定向个人告知并取得其同意;法律、行政法规规定应当保密,或者告知、取得同意将妨碍国家机关履行法定职责的除外。

【解读】本条规定了国家机关履行法定职责处理个人信息所应遵循的原则。国家机关在履行法定职责处理个人信息时，即需要满足《个人信息保护法》第十三条中有关“告知和同意原则”的要求。同时，本条还规范了“法律、行政法规规定应当保密,或者告知、取得同意将妨碍国家机关履行法定职责”的例外情况。

第三十六条 国家机关不得公开或者向他人提供其处理的个人信息,法律、行政法规另有规定或者取得个人同意的除外。

【解读】本条明确了国家机关履行法定职责处理个人信息，禁止对外公开或对外提供的要求。同互联网企业一样，国家机关在履行法定职责处理个人信息时，也不得随意公开或向他人提供，但是“法律、行政法规另有规定或者取得个人同意”是例外情况。

第三十七条 国家机关处理的个人信息应当在中华人民共和国境内存储;确需向境外提供的,应当进行风险评估。风险评估可以要求有关部门提供支持与协助。

【解读】本条明确了国家机关处理的个人信息的储存方式及跨境流转的要求。本条严格遵循了《网络安全法》中有关数据本地化存储和跨境流转的要求。根据《网络安全法》第三十七条的规定，“关键信息基础设施的运营者在中华人民共和国境内运营中收集和产生的个人信息和重要数据应当在境内存储。因业务需要，确需向境外提供的，应当按照国家网信部门会同国务院有关部门制定的办法进行安全评估；法律、行政法规另有规定的，依照其规定。”可见，《个人信息保护法》将国家机关处理的个人信息全部纳入到了本地化存储和跨境风险评估的范围。因此，《个人信息保护法》生效后，不仅仅是关键信息基础设施运营者需要符合此类要求，国家机关也需要。

第三章  个人信息跨境提供的规则

第三十八条 个人信息处理者因业务等需要,确需向中华人民共和国境外提供个人信息的,应当至少具备下列一项条件:

(一)依照本法第四十条的规定通过国家网信部门组织的安全评估;

(二)按照国家网信部门的规定经专业机构进行个人信息保护认证;

(三)与境外接收方订立合同,约定双方的权利和义务,并监督其个人信息处理活动达到本法规定的个人信息保护标准;

(四)法律、行政法规或者国家网信部门规定的其他条件。

【解读】本条明确了个人信息处理者跨境数据流转的规范要求。本条提出了四项规范性的要求，为个人信息处理者提供了更多元化的数据跨境方式，满足任何一项即可。就第一项内容来看，其显然沿用了《网络安全法》中关键信息基础设施运营者的要求，即按照《个人信息和重要数据出境安全评估办法》的规定，落实“安全评估”的相关规定。此外，虽然我国法律目前并未出台相应机构认证的标准，但从第二项的内容来看，我们认为如果后续通过了机构的认证，不排除可以长期获权进行数据的跨境流转。此外，本条还规定了数据跨境流转前，已经与境外接收方订立相关合同的情形。这一规定需要双方对个人信息技术标准和要求进行约定，明确责任归口，尽可能确保我国境内个人信息不会由于跨境数据的流转导致泄露风险。

第三十九条 个人信息处理者向中华人民共和国境外提供个人信息的,应当向个人告知境外接收方的身份、联系方式、处理目的、处理方式、个人信息的种类以及个人向境外接收方行使本法规定权利的方式等事项,并取得个人的单独同意。

【解读】本条明确了个人信息处理者向境外主体提供个人信息也需要符合“告知和同意原则”。需要注意的是，本条规定的告知要求，与《个人信息保护法》第二十九条是不一致的。第二十九条是关于敏感个人信息的处理要求，而本条是针对个人信息跨境传输的要求，因此只需要按照本条列举的要求向个人如实披露相关信息，并获其“单独同意”即可。但“单独同意”是需要符合《网络交易监督管理办法》（征求意见稿）第十一条所规定“逐项授权”要求的。

第四十条 关键信息基础设施运营者和处理个人信息达到国家网信部门规定数量的个人信息处理者,应当将在中华人民共和国境内收集和产生的个人信息存储在境内。确需向境外提供的,应当通过国家网信部门组织的安全评估;法律、行政法规和国家网信部门规定可以不进行安全评估的,从其规定。

【解读】本条是针对特殊个人信息处理者跨境数据传输的要求。本条规定与《网络安全法》第三十七条的规定如出一辙，但扩大了适用范围，将处理个人信息达到国家网信部门规定数量的个人信息处理者也列入了本地化存储的范畴。此外，本条对法律规定不需要进行“安全评估”的例外情形进行了兜底式的规定。

第四十一条 因国际司法协助或者行政执法协助,需要向中华人民共和国境外提供个人信息的,应当依法申请有关主管部门批准。

中华人民共和国缔结或者参加的国际条约、协定对向中华人民共和国境外提供个人信息有规定的,从其规定。

【解读】本条涉及国际法上的“国际司法协助或者行政执法协助”问题。由于个人信息极易在互联网上进行流转，因此跨境侵权诉讼也不断频发。根据《数据安全法》（草案）第三十三条的立法精神，本条规定了此类情形下进行跨境数据流转，需要经过我国主管部门批准。我们认为，之所以本条无法谈及具体职能部门，原因在于国际司法协助和行政执法协助多涉及多部门联动，包括外交部、国家网信部门、最高人民法院、最高人民检察院以及各部委都可能成为主管部门从中协调，因此本条通过“有关主管部门”一词予以概述。此外，该条款的意义还在于通过立法的形式，封堵了境外国家通过长臂管辖权介入刑民案件裁判的可能，维护了我国国家的司法主权。最后，由于涉及国际法问题，如果我国对外已经缔结或参加了国际条约和协定的，应当将这些国际条约和协定作为优先规则予以适用。

第四十二条 境外的组织、个人从事损害中华人民共和国公民的个人信息权益,或者危害中华人民共和国国家安全、公共利益的个人信息处理活动的,国家网信部门可以将其列入限制或者禁止个人信息提供清单,予以公告,并采取限制或者禁止向其提供个人信息等措施。

【解读】本条明确构建了“个人信息提供黑名单制度”。本条参照了《不可靠实体清单规定》的相关规定，构建的“个人信息提供黑名单制度”有助于保障我国公民个人信息免遭他国不法分子侵害，同时还可以起到很好的预防和警示作用。此外，“国家网信部门”作为监管机关，具有建构黑名单的决定权，同时也有权就危害国家安全和公共利益的行为进行判定。

第四十三条 任何国家和地区在个人信息保护方面对中华人民共和国采取歧视性的禁止、限制或者其他类似措施的,中华人民共和国可以根据实际情况对该国家或者该地区采取相应措施。

【解读】本条规定了在个人信息保护领域的报复和反制措施。按照国际法上的国家间对等原则，如果他国或地区对我国在个人信息保护方面采取了歧视性的禁止或限制措施，我国则可以根据实际情况对该国或地区采取相应的报复和反制措施。此前我国出台的《出口管制法》、《数据安全法》（草案）等法律规定都存在着类似的规定。

第四章  个人在个人信息处理活动中的权利

 第四十四条 个人对其个人信息的处理享有知情权、决定权,有权限制或者拒绝他人对其个人信息进行处理;法律、行政法规另有规定的除外。

【解读】本条明确了个人对其个人信息处理时享有的知情权和决定权。第四章主要涉及个人在个人信息处理活动中的相关权利，本条明确的知情权和决定权与《个人信息保护法》所遵循的“告知和同意原则”相一致。需要说明的是，知情权是决定权行使的前提条件，而决定权又包含了个人对个人信息处理有权进行限制或拒绝，进而得以使个人信息处理者在处理个人信息时更为合法、合规，避免侵权。

第四十五条 个人有权向个人信息处理者查阅、复制其个人信息;有本法第十九条第一款规定情形的除外。

个人请求查阅、复制其个人信息的,个人信息处理者应当及时提供。

【解读】本条明确了个人在其个人信息处理后所享有的查阅和复制权。根据《民法典》第一千零三十七条规定，“自然人可以依法向信息处理者查阅或者复制其个人信息；发现信息有错误的，有权提出异议并请求及时采取更正等必要措施。自然人发现信息处理者违反法律、行政法规的规定或者双方的约定处理其个人信息的，有权请求信息处理者及时删除。”可见，本条延续了《民法典》第一千零三十七条，明确了个人所享有的查阅和复制权。对于互联网企业而言，在《个人信息保护法》生效后，需要及时制定相应规则，明确个人查阅和复制的方式和流程。此外，虽然本条要求个人信息处理者在个人依申请后“及时提供”相关信息，到底怎样的时间间隔属于“及时提供”？我们认为，首先，互联网企业需要建立一套制度予以落实，就“及时提供”的具体时间，需要在个案中予以评判和探讨，但前提条件是符合规则要求，提供的时间也不能明显过长。

第四十六条 个人发现其个人信息不准确或者不完整的,有权请求个人信息处理者更正、补充。

个人请求更正、补充其个人信息的,个人信息处理者应当对其个人信息予以核实,并及时更正、补充。

【解读】本条明确了个人在其个人信息处理后所享有的更正和补充权。本条所规定内容也属于《民法典》第一千零三十七条的细化，明确了个人所享有的更正和补充权。对于互联网企业而言，需要重点关注“核实”这一要素，这就需要其具备和掌握《网络安全法》中所要求的“实名认证”的相关能力。除此之外的合规要求，同《个人信息保护法》第四十五条。

第四十七条 有下列情形之一的,个人信息处理者应当主动或者根据个人的请求,删除个人信息:

(一)约定的保存期限已届满或者处理目的已实现; 

(二)个人信息处理者停止提供产品或者服务;

(三)个人撤回同意;

(四)个人信息处理者违反法律、行政法规或者违反约定处理个人信息;

(五)法律、行政法规规定的其他情形。

法律、行政法规规定的保存期限未届满,或者删除个人信息从技术上难以实现的,个人信息处理者应当停止处理个人信息。

【解读】本条明确了个人所享有的个人信息删除权以及个人信息处理者存在的删除义务，并同时对删除权行使的豁免进行了规定。本条所规定的“删除权”被人们长期称之谓是“被遗忘权”。首先，由于个人信息一旦删除，则再难重新获取，因此删除权相对于其他权限来说其实施的条件和要求应当更为谨慎和严格。本条通过列举的形式明确了删除权的形式条件，极大地对其进行了适用上的限定，以保障各方权益尽可能稳定。其次，本条规定了删除权行使的两种途径，即个人在满足相关条件后享有删除个人信息的权利。与此同时，个人信息处理者在出现相关情形时，也具有删除个人信息的义务。再次，需要注意本条第二款在实务中的运用。根据《信息安全技术个人信息安全规范》（GB/T 35273—2020）的规定，账号注销处理时限为十五个工作日，因此个人信息处理者一般应当在注销账号时，一并删除该账户下的个人相关信息。最后，本条还规定了特殊情况下的豁免。例如，根据《电子商务法》第三十一条的规定，“商品和服务信息、交易信息保存时间自交易完成之日起不少于三年；法律、行政法规另有规定的，依照其规定。”因此，在出现个人信息保存期限未届满，或者技术上难以实现的情形下，可以对个人信息处理者进行豁免，但其必须确保停止对个人信息的处理。我们认为，豁免的特殊性条款在实务中极有可能存在被互联网企业滥用的风险，因此在监管层面必须要求互联网企业对其豁免的原因进行充分举证，针对由于业务模式不合规进而导致的豁免适用情形及时介入监管，并要求进行整改，以符合删除权最终得以行使的目的。合规方面，我们依旧建议互联网企业梳理自身业务结构，尽量保证删除权的正常行使，并在实务中向个人开放相关申请通道，并严格落实数据的删除义务，违者将可能承担重罚。

第四十八条 个人有权要求个人信息处理者对其个人信息处理规则进行解释说明。

【解读】本条明确了个人所享有的解释权。《个人信息保护法》的第四十八条首次提出了解释权的概念，即对于个人信息处理规则中存在的专业术语或者是理解上可能存在的偏差等问题，个人有权要求个人信息处理者进行解释说明，但具体解释说明的提出方式可以根据不同互联网企业的规则进行明示。

第四十九条 个人信息处理者应当建立个人行使权利的申请受理和处理机制。拒绝个人行使权利的请求的,应当说明理由。

【解读】本条明确了个人信息处理者建立个人信息申请受理和处理机制的规定。本条对个人信息处理者提出了合规治理层面的要求，即要求个人信息处理者履行同《网络安全法》第四十九条相类似的法律义务，并在此基础上进行细化，要求其在拒绝时对个人进行必要说明。

第五章  个人信息处理者的义务

第五十条 个人信息处理者应当根据个人信息的处理目的、处理方式、个人信息的种类以及对个人的影响、可能存在的安全风险等,采取必要措施确保个人信息处理活动符合法律、行政法规的规定,并防止未经授权的访问以及个人信息泄露或者被窃取、篡改、删除:

(一)制定内部管理制度和操作规程;

(二)对个人信息实行分级分类管理;

(三)采取相应的加密、去标识化等安全技术措施;

(四)合理确定个人信息处理的操作权限,并定期对从业人员进行安全教育和培训;

(五)制定并组织实施个人信息安全事件应急预案;

(六)法律、行政法规规定的其他措施。

【解读】本条明确了个人信息处理者对个人信息的安全保障义务。本条融合了《网络安全法》第二十五条、第二十六条、第三十九条以及第四十条的相关义务，要求个人信息处理者建立完备的管理制度对个人信息进行分级分类管理，同时要求其运用相应技术手段，保证个人信息安全的安全、自主和可控。另外，还需要在日常工作中引入相关机制对相关从业人员进行必要培训，并制定和实施相应应急预案。需要注意的是，根据《数据安全管理办法》（征求意见稿）第第十七条的规定，“网络运营者以经营为目的收集重要数据或个人敏感信息的，应当明确数据安全责任人。数据安全责任人由具有相关管理工作经历和数据安全专业知识的人员担任，参与有关数据活动的重要决策，直接向网络运营者的主要负责人报告工作。”因此，如果个人信息处理者存在处置个人敏感信息和重要数据情形的，其应当明确具备一定的专业背景和特长的数据安全的负责人，这对互联网企业在人力资源选拔层面提出了相当大的挑战和要求。此外，本条第三款仅为概括式条款，并非涵盖全部所应采取的技术形式，应当根据《信息安全技术个人信息安全规范》（GB/T 35273—2020）中有关个人信息的存储时间和方式等问题进行了技术上的规范调整。

第五十一条 处理个人信息达到国家网信部门规定数量的个人信息处理者应当指定个人信息保护负责人,负责对个人信息处理活动以及采取的保护措施等进行监督。

个人信息处理者应当公开个人信息保护负责人的姓名、联系方式等,并报送履行个人信息保护职责的部门。

【解读】本条明确了特殊个人信息处理者指定个人信息保护负责人的义务。根据《数据安全管理办法》（征求意见稿）第八条的规定，“收集使用规则应当明确具体、简单通俗、易于访问，突出以下内容：（一）网络运营者基本信息；（二）网络运营者主要负责人、数据安全责任人的姓名及联系方式…”；可见，根据《数据安全管理办法》（征求意见稿）的立法精神，处理涉及个人敏感信息和重要数据的个人信息处理者需要对外公开相关姓名及联系方式等个人信息。《个人信息保护法》在《数据安全管理办法》第八条的基础上，又新增了特殊个人信息处理者即个人信息达到国家网信部门规定数量的个人信息处理者这一主体，并要求其也应当指定个人信息保护负责人。有关特殊个人信息处理者这一对象，在《个人信息保护法》第四十条跨境数据流转合规要求中我们已有介绍和说明，体现了法律对其重视程度。因此，在合规治理方面，我们建议无论是涉及处理个人敏感信息和重要数据的个人信息处理者，还是本条所规定的处理个人信息达到国家网信部门规定数量的个人信息处理者，都应当配备个人信息保护负责人，对企业的个人信息保护进行监管和负责。至于国家网信部门规定数量究竟是多少，尚有待《个人信息保护法》生效后根据国家网信部门下发的相关规范性文件明确，其并不在本文探讨范围之中。

第五十二条 本法第三条第二款规定的中华人民共和国境外的个人信息处理者,应当在中华人民共和国境内设立专门机构或者指定代表,负责处理个人信息保护相关事务,并将有关机构的名称或者代表的姓名、联系方式等报送履行个人信息保护职责的部门。

【解读】本条明确了中国境外个人信息处理者在境内设立专门机构或者指定代表的义务。虽然本条并未明确设立专门机构或者指定代表的具体流程和要求，也并未明确其法律主体和责任。但是根据《个人信息出境安全评估办法（征求意见稿）》第二十条的立法精神，通过“白名单制度”的建立可以有效对个人信息安全进行必要管控，防止个人信息非法出境而使得我国境内公民人身权益遭受不必要的损害。

第五十三条 个人信息处理者应当定期对其个人信息处理活动、采取的保护措施等是否符合法律、行政法规的规定进行审计。履行个人信息保护职责的部门有权要求个人信息处理者委托专业机构进行审计。

【解读】本条规定了个人信息处理者有依法委托专业机构开展审计工作的义务。虽然目前法律并未规定个人信息处理审计的时间，但是本条规定了定期审计意味着《个人信息保护法》对个人信息处理者的监管将会是长期存在的现象。根据《信息安全技术个人信息安全规范》（GB/T 35273—2020）第11.7条的规定，“对个人信息控制者的要求包括：（a）应对个人信息保护政策、相关规程和安全措施的有效性进行审计；（b）应建立自动化审计系统，监测记录个人信息处理活动；（c）审计过程形成的记录应能对安全事件的处置、应急响应和事后调查提供支撑；（d）应防止非授权访问、篡改或删除审计记录；（e）应及时处理审计过程中发现的个人信息违规使用、滥用等情况；（f）审计记录和留存时间应当符合法律法规的要求。”因此，个人信息处理者应当定期聘请专业的律师事务所对其自身个人信息治理的合规性进行审查，并根据审查结果进行整改。另外需要说明的是，本条中的“履行个人信息保护职责的部门”可能会有所歧义。按照文义解释，其既可能指的是行政监管部门，也可能指的是企业内部的个人信息保护部门。我们认为，第一种解释可能更为妥当。首先，根据《个人信息保护法》第六章通篇的表述可以推定，其所指的是就是行政监管部门。其次，配合行政监管工作本身就是一项法定义务，具备立法的条件。第三，虽然本条已经开宗名义的明确了个人信息处理者定期审计的义务，但是对于未按规定履行审计义务的个人信息处理者而言，本条明确了个人信息保护职责部门的重要法律地位，为其介入监管提供了相应法律依据。

第五十四条 个人信息处理者应当对下列个人信息处理活动在事前进行风险评估,并对处理情况进行记录:

(一)处理敏感个人信息;

(二)利用个人信息进行自动化决策;

(三)委托处理个人信息、向第三方提供个人信息、公开个人信息;

(四)向境外提供个人信息;

(五)其他对个人有重大影响的个人信息处理活动。

风险评估的内容应当包括:

(一)个人信息的处理目的、处理方式等是否合法、正当、必要;

(二)对个人的影响及风险程度;

(三)所采取的安全保护措施是否合法、有效并与风险程度相适应。

风险评估报告和处理情况记录应当至少保存三年。

【解读】本条明确了个人信息处理者的事先风险评估义务。本条所列举的几类情形都是极易对个人信息产生侵权行为的情形，因此国家往往对这些行为都非常关注。本条约定的是个人信息处理者在特殊情形下的事先风险评估义务，具体的操作指南可以参考《个人信息出境安全评估办法》（征求意见稿）。但需要注意的是，除了风险评估外，《个人信息保护法》还规定了安全评估的要求，因此有必要等待监管部门对两者的概念进行必要的区分和解释，以指引个人信息处理者的合规进程。

第五十五条个人信息处理者发现个人信息泄露的,应当立即采取补救措施,并通知履行个人信息保护职责的部门和个人。通知应当包括下列事项:

(一)个人信息泄露的原因;

(二)泄露的个人信息种类和可能造成的危害;

(三)已采取的补救措施;

(四)个人可以采取的减轻危害的措施;

(五)个人信息处理者的联系方式。

个人信息处理者采取措施能够有效避免信息泄露造成损害的,个人信息处理者可以不通知个人;但是,履行个人信息保护职责的部门认为个人信息泄露可能对个人造成损害的,有权要求个人信息处理者通知个人。

【解读】本条明确了在个人信息泄露时，个人信息处理者应当履行的通知义务，并采取相应补救措施。本条明确了个人信息处理者在个人信息泄露时的通知义务和补救义务。第一，履行通知义务的主体是个人信息处理者。第二，本条还明确了履行通知义务的条件是个人信息遭受泄露或者是履行个人信息保护职责的部门向其提出要求这两类情形。第三，除通知义务外，个人信息处理者还需要及时采取补救措施，防止损失的扩大。第四，本条规定了个人信息处理者采取措施能够有效避免信息泄露造成损害的的情形下，个人信息处理者的通知义务可以被豁免。最后需要提醒，个人信息处理者采取的补救措施必须是及时且专业的，由于补救措施采取的不及时或者是不专业导致个人信息泄露扩大进而导致个人损失扩大的，个人信息处理者可能还需要承担相应的侵权责任。

第六章  履行个人信息保护职责的部门

 第五十六条 国家网信部门负责统筹协调个人信息保护工作和相关监督管理工作。国务院有关部门依照本法和有关法律、行政法规的规定,在各自职责范围内负责个人信息保护和监督管理工作。

县级以上地方人民政府有关部门的个人信息保护和监督管理职责,按照国家有关规定确定。前两款规定的部门统称为履行个人信息保护职责的部门。

【解读】本条明确了履行个人信息保护的具体行政监管部门。根据本条规定，履行个人信息保护职责的部门由国家网信部门进行统筹和协调，具体落实的工作由国务院各部门在各自职责范围内进行纵向的“条块管理”，县级以上地方人民政府也按照该模式进行管理。例如，上海市各委办局根据其所负责的不同条块，负责对注册在上海的个人信息处理者进行日常管理，而上海市网信办负责对其进行协调、统筹和监督。

第五十七条 履行个人信息保护职责的部门履行下列个人信息保护职责:

(一)开展个人信息保护宣传教育,指导、监督个人信息处理者开展个人信息保护工作;

(二)接受、处理与个人信息保护有关的投诉、举报;

(三)调查、处理违法个人信息处理活动;

(四)法律、行政法规规定的其他职责。

【解读】本条明确了履行个人信息保护职责的部门的工作内容和职责。本条理清了相关责任部门的职责范围，以及具体行政行为作出的方向，避免由于职责不清或者职责重合，进而对个人信息监管所带来不良影响。

第五十八条 国家网信部门和国务院有关部门按照职责权限组织制定个人信息保护相关规则、标准,推进个人信息保护社会化服务体系建设,支持有关机构开展个人信息保护评估、认证服务。

【解读】本条明确了国家网信部门和国务院有关部门的工作内容和职责。就个人信息保护的有关规则和标准的制定工作而言，由于其直接影响全国各地的适用效果，因此只能由国家网信部门和国务院有关部门负责落实，以更好推进个人信息保护社会化服务体系建设。

第五十九条 履行个人信息保护职责的部门履行个人信息保护职责,可以采取下列措施:  

(一)询问有关当事人,调查与个人信息处理活动有关的情况;

(二)查阅、复制当事人与个人信息处理活动有关的合同、记录、账簿以及其他有关资料;

(三)实施现场检查,对涉嫌违法个人信息处理活动进行调查;

(四)检查与个人信息处理活动有关的设备、物品;对有证据证明是违法个人信息处理活动的设备、物品,可以查封或者扣押。

履行个人信息保护职责的部门依法履行职责,当事人应当予以协助、配合,不得拒绝、阻挠。

【解读】本条规定了履行个人信息保护职责的部门履行个人信息保护职责可采取的措施。本条明确了履行个人信息保护职责的部门的工作方式，并通过法律指引的形式，为其提供了相应法律依据。相反，也为公民履行相应行政监督权提供了参考标准。

第六十条 履行个人信息保护职责的部门在履行职责中,发现个人信息处理活动存在较大风险或者发生个人信息安全事件的,可以按照规定的权限和程序对该个人信息处理者的法定代表人或者主要负责人进行约谈。个人信息处理者应当按照要求采取措施,进行整改,消除隐患。

【解读】本条赋予了履行个人信息保护职责的部门对个人信息处理者进行约谈和提出整改的权限。本条赋予了履行个人信息保护职责的部门存在较大风险或者发生个人信息安全事件相应的认定权。此外，对个人信息处理者的法定代表人或者主要负责人进行约谈既是一种义务，也是一种权利，通过约谈的形式可以更好的进行有效监督。由于《个人信息保护法》第五十三条已经要求个人信息处理者定期进行审计，因此，监管部门还可以在委托律师事务所进行审计后，根据审计结果，要求个人信息处理者进行整改并消除隐患。

第六十一条 任何组织、个人有权对违法个人信息处理活动向履行个人信息保护职责的部门进行投诉、举报。收到投诉、举报的部门应当依法及时处理,并将处理结果告知投诉、举报人。履行个人信息保护职责的部门应当公布接受投诉、举报的联系方式。

【解读】本条规定了“投诉、举报制度”的设立要求。需要注意，本条所指的“投诉、举报制度”是从行政监管角度出发的，对个人信息处理者内部的投诉和举报的处理流程和方式，并不包含在本条范围内。此外，无论是否具有利害关系，任何组织和个人都有权对其认为违法违规的个人信息处理者进行投诉和举报。一旦收到此类投诉和举报信函，无论是中央，还是地方归口的监管部门就应当按照本条相应规定进行处置。如果监管部门未按要求或者延期处置的，可能会被认定为行政违法或不作为。

第七章  法律责任

第六十二条 违反本法规定处理个人信息,或者处理个人信息未按照规定采取必要的安全保护措施的,由履行个人信息保护职责的部门责令改正,没收违法所得,给予警告;拒不改正的,并处一百万元以下罚款;对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款。

有前款规定的违法行为,情节严重的,由履行个人信息保护

职责的部门责令改正,没收违法所得,并处五千万元以下或者上一年度营业额百分之五以下罚款,并可以责令暂停相关业务、停业整顿、通报有关主管部门吊销相关业务许可或者吊销营业执照;对直接负责的主管人员和其他直接责任人员处十万元以上一百万元以下罚款。

【解读】本条明确了个人信息处理者违法后的法律责任。本条设置处罚的幅度和范围相较于《网络安全法》而言显然更为严厉了，其引入了类似于欧盟GDPR第八十三条的惩罚性赔偿制度，来对违法行为进行惩罚，加大了个人信息处理者的违法成本。

第六十三条 有本法规定的违法行为的,依照有关法律、行政法规的规定记入信用档案,并予以公示。

【解读】本条规定了“信用档案制度”的建立和使用。本条借鉴了《电子商务法》第七十条和第八十六条的规定，建立和使用“信用档案制度”将对整个个人信息保护来说更为有益。此外，对于违法、违规企业的信息公示，将加大其违法成本和商业信誉的影响，创建出“良币驱逐劣币”的良好环境。

第六十四条 国家机关不履行本法规定的个人信息保护义务的,由其上级机关或者履行个人信息保护职责的部门责令改正;对直接负责的主管人员和其他直接责任人员依法给予处分。

【解读】本条明确了国家机关不履行个人信息保护义务的法律责任。对于国家机关不履行个人信息保护义务的，不仅需要由上级主管部门责令其改正，还将处罚责任落实到人，促进其更好地履行自身监管职能的作用。

第六十五条 因个人信息处理活动侵害个人信息权益的,按照个人因此受到的损失或者个人信息处理者因此获得的利益承担赔偿责任;个人因此受到的损失和个人信息处理者因此获得的利益难以确定的,由人民法院根据实际情况确定赔偿数额。个人信息处理者能够证明自己没有过错的,可以减轻或者免除责任。

【解读】本条是有关个人信息被侵害后，民事赔偿方式的相关说明。根据《民法典》的相关立法精神，我国对于侵权行为的赔偿采用的是“填平原则”，即根据被侵权人的实际损失作为侵权人赔偿的数额。本条规定沿用了这一立法精神，并根据“过错责任”的归责原则，来作为认定侵权及赔偿的方法。

第六十六条 个人信息处理者违反本法规定处理个人信息,侵害众多个人的权益的,人民检察院、履行个人信息保护职责的部门和国家网信部门确定的组织可以依法向人民法院提起诉讼。

【解读】本条建立了“个人信息公益诉讼制度”。我国公益诉讼的提出一般较为严格，需要具备一定的社会性，也需要明确的法律依据作为支撑。因此，本条设置的目的给了检察机关、消费者权益保护组织等单位提起个人信息公益诉讼的权利，为维护侵害众多个人权益的个体，提供了获取救济的可能。

第六十七条 违反本法规定,构成违反治安管理行为的,依法给予治安管理处罚;构成犯罪的,依法追究刑事责任。

【解读】本条明确了个人信息违法后可能面临的刑事或者行政处罚。本条沿用了《网络安全法》、《电子商务法》等法律的规定，将违反《个人信息保护法》的行为，视情节不同，明确划分为行政处罚和刑事处罚两档，供公安机关予以处理。

第八章  附   则

 第六十八条 自然人因个人或者家庭事务而处理个人信息的,不适用本法。

法律对各级人民政府及其有关部门组织实施的统计、档案管理活动中的个人信息处理有规定的,适用其规定。

【解读】本条明确了不适用本法的两类特殊情况。个人信息作为一种“私权”，倘若以处理家庭事务为目的，进而发生在个体间的信息处理行为，由于其社会影响力较小，也不存在法律需要进一步细化调整的必要，因此排除在《个人信息保护法》调整的范围外。另外，人民政府组织的统计和档案管理活动一般又涉及“公权”，其还可能需要符合《保密法》的相关规定，因此属于特别法的调整范畴，也应当被排除在《个人信息保护法》调整的范围外。

第六十九条 本法下列用语的含义: 

(一)个人信息处理者,是指自主决定处理目的、处理方式

等个人信息处理事项的组织、个人。

(二)自动化决策,是指利用个人信息对个人的行为习惯、兴趣爱好或者经济、健康、信用状况等,通过计算机程序自动分析、评估并进行决策的活动。

(三)去标识化,是指个人信息经过处理,使其在不借助额外信息的情况下无法识别特定自然人的过程。

(四)匿名化,是指个人信息经过处理无法识别特定自然人且不能复原的过程。

【解读】本条明确了几个重要的专业术语的概念。本条明确了“个人信息处理者”、“自动化决策”、“去标识化”以及“匿名化”四个专业术语的概念。需要说明的是，虽然《个人信息保护法》对“去标识化”和“匿名化”进行了区分，但是在实务中仍较难界别。一般来说，“匿名化”是经过“去标识化”加工后出现的产物。其所呈现的信息更为模式，即便借助外在和额外的信息，也无法进一步识别出个体信息。“去标识化”虽然经过一定程度的处理，但是其在借助外在信息时有可能被予以识别，同时其原始数据也可能通过技术手段被予以还原。

第七十条 本法自  年   月   日起施行。（完）

【解读】本条规定了《个人信息保护法》具体的施行时间。目前，《个人信息保护法》仍在征求意见阶段，其具体的施行时间尚未确定。但是在司法实践中需要注意，由于《个人信息保护法》一些部分的合规要求非常详实，因此不排除其最终发布和施行的时间出现不一致的情形。如若发生这一情况，建议互联网企业必须抓住这段时间的空档期，尽可能按照最终发布的《个人信息保护法》进行合规梳理，这也是立法者预留多余时间其背后的真正目的。

作 者 简 介

关注我们联系我们