《中华人民共和国个人信息保护法》全文学习材料

《中华人民共和国个人信息保护法》全文学习材料一、基础概况（学习导读）1.立法基础《中华人民共和国个人信息保护法》2021年8月20日第十三届全国人大常委会第三十次会议通过，2021年11月1日正式施行，是我国首部个人信息保护专门综合性法律，与《民法典》《网络安全法》《数据安全法》共同构成数据安全与个人权益保护法律体系。2.立法目的（第一条）保护自然人个人信息权益；规范各类主体个人信息处理活动；促进个人信息合法、合理利用；维护社会公共利益、国家安全。3.适用范围（第三条）境内所有组织、个人处理境内自然人个人信息，全部适用；境外企业/机构向境内提供产品、服务、收集境内中国人信息，同样受本法约束；覆盖医院、单位、企业、政务平台、APP、线下登记、视频监控全场景。4.核心名词定义（第四条）个人信息：以电子/其他方式记录，能单独或结合识别特定自然人的各类信息（姓名、身份证号、手机号、住址、病历、人脸、指纹、轨迹、消费记录等）；敏感个人信息：一旦泄露极易危害人身、财产安全，包括生物识别、医疗健康、金融账户、行踪轨迹、未成年人信息；个人信息处理：收集、存储、使用、加工、传输、提供、公开、删除个人信息全流程行为。5.处理六大基本原则（第五条—第九条）合法、正当、诚信：禁止欺诈、胁迫、非法收集信息；目的限制：收集前明确用途，不得超范围使用；最小必要：只收集业务必需信息，严禁过度收集；公开透明：清晰告知用户信息用途、存储期限；信息准确：及时更正错误、过时信息；安全负责：处理主体承担全部信息安全责任。二、法律全文分章节核心解读（重点学习版）第一章总则（第1—12条）核心要点：划定适用范围、六大基础原则、国家保护责任。

关键条款：第10条：严禁非法买卖、泄露、提供公民个人信息；第12条：国家推进跨境个人信息保护国际互认合作。第二章个人信息处理规则（核心章节）第一节一般规定（第13—27条）1.合法处理7类情形（第13条，无需全部取得同意）个人主动、明确同意；签订合同、人力资源管理必需；行政机关履行法定职责；突发公共卫生事件、紧急救人；新闻报道、合理舆论监督；合理使用本人已公开信息；法律行政法规另有规定。2.知情同意核心规则（第14、15、16条）同意必须充分知情、自愿、单独、明确，禁止捆绑授权、一揽子勾选；用户随时可撤回同意，处理者不得设置障碍；不得因用户拒绝非必要信息收集，拒绝提供基础产品/服务（禁止“不同意就不让用APP”）。3.强制告知义务（第17条）收集信息前必须清晰告知：主体名称、处理目的、信息种类、存储时长、用户维权渠道。4.存储最短期限（第19条）信息保存仅能到实现目的的最短时间，到期主动删除、匿名化。5.自动化决策（大数据杀熟禁令，第24条）算法推送、定价必须公平公正，禁止大数据杀熟（对同等服务设置差异化高价）；商业推送必须提供“关闭个性化推荐”便捷选项；用户可要求人工复核自动化决策结果。6.公共区域摄像规定（第26条）小区、医院、单位、商场安装人脸、视频采集设备，仅用于公共安全，不得随意对外泄露，不得强制刷脸通行。第二节敏感个人信息处理规则（第28—32条）敏感信息（病历、人脸、指纹、儿童信息）必须取得单独书面同意；仅在确有必要时才能收集，需额外开展安全评估；处理未成年人信息，必须征得监护人同意，专门未成年人保护机制；医疗、养老、金融机构处理健康、财产信息，落实加密、隔离存储。第三节国家机关处理个人信息特别规定（第33—37条）政务单位仅能在法定职责范围内收集信息，不得超权限采集；政务采集信息原则境内存储，出境必须安全评估；公民申请调取、更正本人政务信息，机关限时答复。第三章个人信息跨境提供规则（第38—42条）向境外传输中国人信息，满足四选一条件：国家网信安全评估、第三方合规认证、签署标准合同、法定特殊情形；出境前告知境外接收方信息用途，取得用户单独同意；关键信息基础设施、大规模数据企业，信息必须境内存储，出境从严审批；境外企业在国内开展业务，必须设立境内代表机构对接监管。第四章个人信息主体的七大法定权利（第44—50条）知情权、决定权：知晓信息如何使用，同意/拒绝收集；查阅、复制权：随时调取本人所有存储信息；更正、补充权：信息错误、残缺可申请修正；删除权（被遗忘权）：目的达成、撤回同意、违法收集时，可要求删除；限制处理权：怀疑信息违规，可暂停平台使用本人数据；信息转移权：可要求企业把个人数据直接交付第三方；解释说明权：对算法推送、价格差异，有权要求平台解释。配套要求：处理者必须设立便捷线上/线下维权渠道，15日内答复群众诉求。第五章个人信息处理者义务（第51—58条，单位、企业重点学习）1.基础安全义务（第51条）建立内部管理制度、信息分类分级；加密、去标识化安全防护；分级权限管控、员工定期培训；制定信息泄露应急预案。2.个人信息保护负责人制度（第52条）企业处理用户数据达到规定数量，必须设立专职保护负责人，对外公示联系方式，对接监管部门。3.强制评估与审计（第54、55条）五类场景事前开展个人信息保护影响评估，评估记录至少保存3年：

①处理敏感信息；②自动化算法决策；③委托第三方处理；④对外共享/公开信息；⑤数据出境。

企业每年开展合规审计。4.泄露应急处置（第57条）发生信息泄露、篡改、丢失，第一时间补救，及时通知受影响用户与监管部门。第六章履行个人信息保护职责的部门（第59—64条）网信部门统筹全国个人信息保护监管；市场监管、公安、卫健、文旅等行业主管部门分领域监管；监管职权：约谈、检查、调取资料、责令暂停业务、查封设备、行政处罚；行业协会开展自律规范，普及普法宣传。第七章法律责任（第65—72条，处罚红线）1.民事责任实行过错推定原则：企业泄露信息造成损害，不能证明自身无过错的，全额赔偿损失；集体侵害可提起公益诉讼。2.行政罚款梯度（最高5000万）一般违规：责令整改、警告、没收违法所得；严重违法（过度收集、泄露、买卖人脸/病历、大数据杀熟）：企业：5000万元以下罚款，或年营业额5%；直接负责人：10万—100万元罚款，可限制从业；情节特别严重：责令停业、吊销相关业务许可。3.刑事责任非法出售、提供公民个人信息，触犯《刑法》侵犯公民个人信息罪，追究有期徒刑、罚金。第八章附则（第73—74条）匿名化、无法识别自然人的数据，不属于本法保护的个人信息；法律自2021年11月1日起施行。三、学习重点：高频实务考点（单位/医院/企业通用）最小必要原则落地

禁止表单强制填写非必要信息（如收集患者家属身份证、员工非必要家庭资产、APP强制读取通讯录）。敏感信息管理红线

医院病历、患者人脸采集、未成年人就诊信息，必须单独授权，专人加密保管，禁止随意拍照转发。禁止大数据杀熟

电商、打车、酒店平台不得根据用户消费能力差异化定价。刷脸通行限制

小区、医院不能强制人脸登记，必须提供身份证、门禁卡替代方案。职工/患者信息保密

医护、行政人员不得私自转发患者病历、联系方式；单位不得随意对外提供员工身份证、住址。数据出境管控

医疗机构、国企不得未经审批将患者、职工数据传输境外服务器。四、个人信息保护法学习心得体会（可直接用于上交）通过系统学习《个人信息保护法》全文，我充分认识到个人信息权益是公民重要人格权益，本法构建了“收集—存储—使用—传输—销毁”全流程合规体系，明确了单位、从业人员、平台三方主体责任。

结合日常工作（医护/行政/企业办公），今后将落实以下要求：严格遵循合法、正当、最小必要原则，不超范围收集患者、群众、职工个人信息；规范敏感信息（病历、生物识别、未成年人信息）存储，做好加密防护，杜绝私自拍照、转发、外传；完整落实告知同意制度，采集信息前明确告知用途，尊重群众撤回、删除、更正信息的权利；学习应急处置流程，如发生信息泄露第一时间上报、补救；主动开展普法宣传，引导身边同事、群众了解自身信息权益，共同防范信息泄露、电信诈骗风险；严守法律处罚红线，杜绝买卖、非法提供个人信息行为，落实岗位信息保护责任。五、配套学习题库（简答核心题）问：什么是敏感个人信息？

答：生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹、未成年人信息，泄露会严重危害人身财产安全。问：处理个人信息