《中华人民共和国个人信息保护法》权威完整版解读

《中华人民共和国个人信息保护法》权威完整版解读一、法规基础概况1.1立法与实施时间《中华人民共和国个人信息保护法》由十三届全国人大常委会第三十次会议2021年8月20日表决通过，2021年11月1日正式施行；全文共计8章74条，是我国首部个人信息保护基础性、统领性专项法律，补齐数据安全、隐私保护法治短板。1.2立法核心目的保护自然人个人信息合法权益，规范企业、机关单位、社会组织个人信息收集、存储、使用、加工、传输、销毁全流程处理活动；平衡个人隐私保护与数据合理利用，遏制信息倒卖、过度采集、骚扰推送、非法溯源、跨境泄露等乱象，健全数字社会治理体系。1.3全域适用范围境内所有机关事业单位、企业、医疗机构、培训机构、社会组织、自然人，全部信息处理行为全覆盖；境外机构处理中国境内公民个人信息，同样受本法约束，属地+属人双重管辖；覆盖办公台账、人员档案、客户资料、就医信息、人脸指纹、考勤数据、线上账号全类信息场景。1.4核心名词法定释义个人信息：以电子或者其他方式记录的、与已识别或者可识别自然人相关的各类信息（姓名、手机号、住址、岗位、身份证号、轨迹、照片均包含）。敏感个人信息（严控红线）：生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹、未成年人信息；非必要不得采集、必须单独获取书面同意。个人信息处理：收集、存储、使用、加工、传输、提供、公开、销毁全生命周期作业。二、五大核心基本原则（执法审核第一依据）合法、正当、必要、诚信原则：禁止强制捆绑授权、禁止超业务范围违规采集信息；目的限定原则：信息采集前明确使用用途，不得擅自更改用途、二次挪用；最小必要原则：能少采不多采，非业务必需信息一律不收集；准确完整原则：及时更正错误信息，杜绝虚假人员档案留存；期限约束原则：业务办结、用工终止后，限期销毁冗余人员信息，不得永久囤积。三、个人八大法定权益（公民核心权利）3.1基础知情权、决定权个人拥有信息使用最终决定权，拒绝一揽子打包授权、拒绝强制同意；不同意非必要信息采集，单位不得停止服务、不予办理业务。3.2查询、复制权自然人可随时向单位申请调取本人存档个人信息、台账登记信息，管理方需限时免费提供。3.3更正、删除权（遗忘权）信息有误可申请更正；信息超期、违规采集、服务终止后，个人可要求立即删除个人档案数据。3.4撤回同意权已授权信息使用可随时撤回，撤回后单位即刻停止信息使用、流转、对外共享。3.5限制处理权、解释权、投诉权、救济权针对大数据画像、自动化考勤、智能审批，个人可申请人工复核；信息泄露可直接监管投诉、追责索赔。四、单位信息处理硬性合规规则（企业/事业单位迎检重点）4.1核心：告知-同意刚性规则所有人员信息采集必须事前明示告知用途、保存期限、接收第三方、安全风险，取得自愿明示同意；默认勾选、隐蔽弹窗、捆绑业务办理均属于违法。4.2敏感信息专项管控人脸、指纹、体检健康、员工病史、未成年信息，必须单独书面签字授权；严禁批量采集人脸数据用于非安防、非考勤刚需场景；未成年人信息处理必须监护人双重审批备案。4.3内部台账与追溯管理（台账对接刚需）单位必须建立个人信息全生命周期追溯台账：登记信息采集来源、经办人、归档日期、使用部门、对外流转记录、销毁时间、保管责任人；台账留存不少于3年，涉密、人事敏感台账留存5年，全程责任到人、可溯源核查。4.4内部人员权限管控实行分级权限管理，普通行政人员不得调取人事健康、涉密人员台账；离岗员工立即关闭信息系统权限，杜绝内部倒卖、私自拷贝人员档案。4.5对外共享、委托外包禁令人员信息、客户台账外包第三方运维、对接合作单位前，必须二次征得本人同意、签订信息保密协议；无协议对外流转信息直接违法。4.6自动化决策合规要求大数据画像、智能排班、人员考评、客户分级推送，不得仅依靠算法自动判定，个人有权申请人工干预复核。五、个人信息跨境传输合规要求国内人员档案、员工台账、政务信息原则禁止境外传输；确需出境必须完成：国家网信安全评估、第三方合规认证、标准合同三重资质其一；境外接收方需承担同等保护责任，发生跨境泄露双向追责。六、特殊主体专项条款解读6.1国家机关、事业单位政务人员台账、民生档案、政务采集信息实行最严管控；严禁公职人员私自导出、拷贝、外泄政务个人信息，纳入政务执纪问责。6.2医疗机构、培训机构病历信息、学员身份、家长联系方式、体检档案属于高敏感信息，禁止朋友圈转发、私自对外售卖、随意公示台账报表。6.3未成年人专项保护未成年人信息属于最高等级敏感信息，严控采集范围，禁止商业推送、精准营销，平台、机构强制落实未成年人信息封存保护。七、违法处罚与追责红线（督查一票否决项）7.1一般违规处罚责令整改、通报警告、没收违法所得；拒不整改单位罚款100万元以内，直接管理人员罚款1-10万元。7.2重大违法顶格处罚批量倒卖人员信息、大规模信息泄露、侵害万人以上权益：单位最高罚5000万元或年营业额5%；关停业务、吊销资质；责任人行政拘留、刑事追责。7.3过错推定追责原则信息泄露造成损失，单位自证清白；无法举证无过错，全额承担民事赔偿、舆情及行政责任。7.4刑事责任衔接非法获取、出售、提供公民个人信息，同步触犯《刑法》侵犯公民个人信息罪，追究刑责。八、日常高频违规场景汇总（自查自纠）员工花名册、人员台账无审批私自转发工作群；过度收集员工婚姻、家属、病史等非必要人事信息；离职员工个人信息长期存档、不按期销毁；人脸考勤无单独授权、强制录入生物信息；合作第三方对接时，无保密协议共享人员台账；废旧电脑、U盘、纸质档案随意丢弃，未脱敏销毁。九、单位落地执行整改建议（台账+制度配套）修订内部信息保密、个人信息保护管理制度，定岗信息安全责任人；梳理人事、客户、学员、医疗全部台账，删减冗余敏感信息；建立信息采集、使用、流转、销毁四维追溯台账，闭环归档；全员普法培训，留存培训签到、考核台账；定期开展信息泄露风险自查，完成年度合规内审。十、法规附则与配套说明本法优先于普通行政规