互联网平台用户隐私保护条例

互联网平台用户隐私保护条例第一章总则第一条【立法目的与依据】为规范互联网平台（以下简称“平台”）收集、存储、使用、加工、传输、提供、公开等处理用户个人信息的行为，保护用户合法权益，维护网络空间秩序，促进互联网行业健康发展，根据相关法律法规及行业实践，制定本条例。第二条【适用范围】本条例适用于在中华人民共和国境内运营的互联网平台，包括但不限于电子商务、社交娱乐、信息资讯、金融服务、生活服务等各类平台，及其向用户提供服务过程中涉及的个人信息处理活动。法律法规另有规定的，从其规定。第三条【基本原则】平台处理用户个人信息，应当遵循以下原则：（一）合法原则：处理行为应符合法律法规要求，不得违反法律禁止性规定。（二）正当原则：处理目的应明确、合理，与平台提供的服务直接相关，不得利用误导、欺诈、胁迫等不正当方式处理个人信息。（三）必要原则：仅收集为实现服务目的所必需的最少数量个人信息，不得过度收集。（四）透明原则：向用户明确告知个人信息处理的目的、方式、范围等事项，保障用户的知情权和选择权。（五）安全保障原则：采取必要措施保障个人信息的安全，防止信息泄露、丢失、篡改或被滥用。（六）权利保障原则：充分保障用户对其个人信息所享有的查阅、复制、更正、补充、删除、撤回同意等权利。第四条【定义】（一）用户：指使用互联网平台提供的服务的自然人。（二）个人信息：指以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。（三）敏感个人信息：指一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。（四）平台：指提供互联网信息服务，具备相应技术架构和用户规模，能够收集、存储、处理用户个人信息的运营主体。第二章个人信息收集与处理规范第五条【收集规则】（一）知情同意：平台收集个人信息前，必须以清晰、易懂、显著的方式向用户告知收集、使用个人信息的目的、方式、范围和保存期限等内容，并获得用户的明示同意。涉及敏感个人信息的，必须获得用户的单独同意。（二）最小必要：收集的个人信息类型和数量应严格限定在实现服务目的所必需的最小范围，不得收集与服务无关的个人信息。对于非核心功能所需的个人信息，应允许用户选择是否提供。（三）禁止强制捆绑：不得将同意收集非必要个人信息作为用户使用平台核心服务的前提条件，除非法律、行政法规另有规定。（四）未成年人保护：收集不满十四周岁未成年人个人信息的，应当取得其监护人的明示同意，并制定专门的未成年人个人信息保护规则。第六条【处理规则】（一）目的限制：处理个人信息的目的应与收集时告知的目的一致，不得超出范围。如需变更处理目的，应重新获得用户同意。（二）确保准确：平台应采取合理措施确保所处理的个人信息准确、完整，并及时更新。（三）安全存储：平台应采用加密、去标识化等安全技术措施存储个人信息，并制定安全管理制度和应急处置预案。个人信息的保存期限应与服务目的的实现期限一致，法律法规另有规定的除外。（四）规范使用：不得利用个人信息进行歧视性待遇，不得滥用个人信息进行精准营销骚扰用户，不得处理与服务无关的个人信息。第七条【共享、转让与公开披露规则】（一）严格限制：未经用户明示同意，平台不得将收集的个人信息共享、转让给第三方，或进行公开披露。法律法规另有规定的除外。（二）第三方评估：确需共享、转让个人信息的，平台应对接收方的安全保障能力进行评估，并通过合同等形式明确双方的安全责任和保密义务。（三）去标识化处理：向第三方提供个人信息用于统计分析、学术研究等目的时，应进行去标识化处理，确保无法识别特定个人且不能复原。（四）公开披露警示：平台公开披露个人信息前，应充分评估可能带来的风险，并提前通知相关用户，用户明确反对的不得公开披露，但法律规定应当公开的除外。第三章用户权利与保障第八条【知情权与访问权】用户有权知悉其个人信息的收集、处理、共享、存储等情况，并有权查阅、复制其个人信息。平台应提供便捷的查询渠道和清晰的信息呈现方式。第九条【更正权与补充权】用户发现其个人信息存在错误或不完整的，有权要求平台进行更正或补充。平台收到申请后，应在合理期限内进行核实处理并告知结果。第十条【删除权】在下列情形之一时，用户有权要求平台删除其个人信息：（一）平台收集、处理个人信息的目的已实现或无法实现；（二）平台停止提供相应服务；（三）用户撤回同意；（四）平台违反法律法规或双方约定处理个人信息；（五）法律、行政法规规定的其他情形。平台应在合理期限内响应并完成删除操作，涉及存储在第三方或备份系统中的信息，应协调或指令相关方进行删除或匿名化处理。第十一条【撤回同意权】用户有权随时撤回其对个人信息处理的同意。平台应提供便捷的撤回同意渠道，且撤回同意不应影响用户使用平台的核心服务，也不得因此对用户进行歧视性对待。第十二条【拒绝自动化决策权】平台利用个人信息进行自动化决策（如算法推荐、信用评估等）时，应保证决策的透明度和公平性。用户有权拒绝仅依据自动化决策结果对其产生显著不利影响的行为，并有权要求平台对自动化决策的逻辑进行解释。第四章平台义务与责任第十三条【隐私政策】平台应制定并公开详细的隐私政策，内容应包括但不限于：（一）平台基本信息及联系方式；（二）个人信息收集的种类、范围及用途；（三）个人信息的存储期限及安全保障措施；（四）个人信息共享、转让、公开披露的规则；（五）用户行使权利的方式和途径；（六）隐私政策的更新方式及生效日期。隐私政策应放置在平台显著位置，并采用清晰、简洁、易懂的语言。第十四条【安全保障义务】平台应具备与其个人信息处理规模和风险等级相适应的技术能力和管理措施，保障个人信息的安全：（一）建立健全安全管理制度和操作规程；（二）采取加密、访问控制、安全审计等技术措施；（三）定期开展安全风险评估和合规检查；（四）制定并演练个人信息泄露应急预案。发生或可能发生个人信息泄露、篡改、丢失时，平台应立即采取补救措施，并及时向监管部门报告，同时通知受影响的用户。第十五条【合规审计与人员培训】平台应定期对其个人信息处理活动进行合规审计，并对从业人员进行个人信息保护相关法律法规和专业知识培训，确保其具备相应的保护意识和能力。第十六条【未成年人保护专项义务】平台应针对未成年人设置专门的个人信息保护模式，对未成年人个人信息采取更加严格的保护措施，包括但不限于默认隐私设置、限制信息收集范围、禁止向未成年人推送与其年龄不相适应的内容等。第十七条【算法透明度与可解释性】平台使用算法对用户行为进行分析和决策时，应努力提升算法的透明度和可解释性，避免利用算法实施歧视、欺诈等损害用户权益的行为。鼓励平台建立算法申诉机制。第五章监督与惩戒第十八条【监管机制】国家网信部门及地方网信部门负责统筹协调本行政区域内互联网平台用户隐私保护工作，对平台的个人信息处理活动进行监督检查。其他有关部门在各自职责范围内做好相关监督工作。第十九条【用户举报】平台应建立畅通的用户举报渠道，及时受理和处理用户关于个人信息保护的投诉举报。用户对平台处理结果不满意的，可向监管部门投诉。第二十条【法律责任】平台违反本条例规定，有下列行为之一的，由监管部门责令限期改正，给予警告，没收违法所得；拒不改正的，处一定数额罚款，并可责令暂停相关业务、停业整顿、关闭网站、吊销相关业务许可证或营业执照；对直接负责的主管人员和其他直接责任人员依法给予处罚：（一）未经同意擅自收集、处理个人信息，或超出告知范围处理个人信息；（二）违反最小必要原则，过度收集个人信息；（三）泄露、篡改、丢失用户个人信息，造成严重后果；（四）非法出售、向他人提供个人信息；（五）拒不履行用户信息权利请求；（六）设置不合理障碍，变相强制用户同意收集个人信息；（七）其他严重违反本条例及相关法律法规的行为。构成犯罪的，依法追究刑事责任。第六章附则第二十一条【动态调整】本条例所指的敏感个人信息范围，将根据技术发展和社会认知进行动态调整，由国家网信部门另行制定并公布。第二十二条【解释权】本条例由国家互联网信息办公室会同相关部门负责解释。第二十三条【施行日期】本条例自发布之日起施行。本条例施行前已开展个人信息处理活动