《个人信息保护法》解读

COVER《个人信息保护法》解读数字时代的个人信息权益与企业合规2026年9月内容导览01立法背景时代紧迫感与法律定位02核心框架处理规则、个人权利与处理者义务03重点场景敏感信息、自动化决策与跨境传输04合规实践企业全生命周期合规落地05责任警示真实案例与法律责任CHAPTER立法背景个人信息是数字时代的核心资产从立法目的到施行现状，理解这部法律的定位与意义01立法目的追求三重平衡境内处理自然人信息一律适用；境外处理境内自然人信息，以提供产品服务、分析评估行为等情形同样适用2021年11月1日起施行，是我国首部个人信息保护专门法律保护个人信息权益三重之一个人权利优先保护把个人信息权益置于立法价值首位，防止权利被技术优势或平台强势架空。规范处理活动三重之二全流程合规要求对处理活动设定全流程规则，收集、存储、使用、传输各环节均须依法合规。促进合理利用三重之三数据价值有序释放在保护前提下推动合理利用，让数据要素价值在规范轨道上有序释放。理解立法定位，是全员守法的起点违法态势呈现三大特征7000余起2024年全国侦破侵犯公民个人信息案件5起最高法2026年5月发布刑事典型案例6起最高检2026年1月发布公益诉讼典型案例手段智能化木马程序、黑客软件成为主要窃取工具主体职业化行业“内鬼”与外部黑灰产业链勾结危害扩大化泄露信息精准用于电信诈骗、敲诈勒索风险就在身边，每一个处理动作都可能成为防线或漏洞民事诉讼侵权类型分布未经同意收集与非法泄露合计占八成以上违规收集类3项未经同意收集使用个人信息14起·占比

45.2%无正当理由请求获取他人信息2起·占比

6.5%非法买卖个人信息1起·占比

3.2%违规处理与保护类3项非法泄露个人信息12起·占比

38.7%未充分履行告知义务1起·占比

3.2%未履行安全保护义务1起·占比

3.2%个人信息与敏感信息界定国家标准

GB/T45574-2025

进一步明确了敏感信息识别与界定方法个人信息以电子或其他方式记录的与已识别或可识别的自然人有关的各种信息，不含匿名化信息常见类型：身份信息、生物识别、网络身份标识、财产信息、通信记录、位置轨迹、上网记录等敏感个人信息一旦泄露或非法使用，易致人格尊严受侵害或人身财产安全受危害敏感信息包括：生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹，以及不满十四周岁未成年人信息五大基本原则是合规基石逐条解读处理原则，让全员建立合规判断的底层标准合法正当与诚信不得通过误导、欺诈、胁迫等方式处理目的限制目的明确合理，与处理直接相关，影响最小公开透明公开处理规则，明示目的、方式和范围质量保证保证信息准确完整，避免不利影响安全保障处理者对其活动负责，采取必要安全措施CHAPTER核心框架告知-同意是核心规则处理规则、个人权利、处理者义务三大支柱02七种合法处理情形梳理个人信息处理合法性基础，明确哪些场景可以处理、哪些必须取得同意必须取得同意——第一项取得个人同意最基础的合法性来源。无需同意——合同与法定义务订立或履行合同所必需如电商配送、人力资源管理履行法定职责或义务所必需无需同意——公共利益与公开信息应对突发公共卫生事件或紧急情况下保护生命健康和财产安全公共利益新闻报道、舆论监督等合理范围自行公开或合法公开的信息合理范围内法律、行政法规规定的其他情形后六种情形无需个人同意，但须严格限制在必要范围内告知同意是核心规则告知义务3项显著方式·清晰易懂语言处理前真实准确完整告知告知内容须颗粒化目的、方式、存储期限、共享对象缺一不可扩大使用范围须重新告知并取得同意同意要求4项充分知情·自愿明确个人在充分知情前提下自愿、明确作出高风险活动单独同意敏感信息处理、信息出境等须取得单独同意禁止暗箱操作禁止"一揽子授权""默认勾选"提供差异化选项非基本功能所需信息，应提供替代方式个人享有七项核心权利逐项介绍个人权利，明确企业对每项权利须建立的响应机制01权利一知情决定权知悉处理规则并自主决定。02权利二查阅复制权向处理者查阅、复制其个人信息。03权利三更正补充权信息不准确或不完整的，有权请求更正。04权利四删除权处理目的已实现、无法实现或不再必要时，有权请求删除。05权利五撤回同意权提供便捷的撤回方式，不得以撤回为由拒绝提供服务。06权利六可携带权请求将信息转移至指定处理者。07权利七拒绝自动化决策权在重大影响的自动化决策中要求说明并拒绝。企业须建立便捷机制，产品中设置个人信息保护中心，建议

15个工作日

内响应。处理者安全义务清单六项法定安全义务一内部管理制度制定内部管理制度和操作规程二分类管理对个人信息实行分类管理三安全技术措施采取加密、去标识化等安全技术措施四权限与教育培训合理确定操作权限，定期开展安全教育培训五应急预案制定并组织个人信息安全事件应急预案六其他合规措施法律、行政法规规定的其他措施已公开信息与影响评估已公开信息：处理边界4项已公开信息可在合理范围内处理，但个人明确拒绝的除外商业信息拦截禁止向邮箱、手机号发送与公开目的无关的商业信息行为禁令禁止利用已公开信息从事网暴、传播谣言等活动重新同意对个人权益有重大影响的处理，须重新取得同意影响评估：触发与要求3项触发场景处理敏感信息、自动化决策、委托处理、出境等情形前开展评估维度处理目的是否合法正当必要、对个人权益的影响、泄露风险、保护措施有效性保存期限评估报告和处理情况应至少保存三年CHAPTER重点场景高风险场景需单独同意敏感信息、自动化决策、跨境传输逐一拆解03敏感信息须单独同意处理不满十四周岁未成年人信息，须取得父母或其他监护人同意处理敏感信息前，应进行个人信息保护影响评估处理敏感个人信息，须同时满足四个条件特定目的具有明确、特定、合理的目的充分必要为达目的具有充分必要性严格保护采取更严格的保护措施单独同意取得个人单独同意，不能以概括授权替代自动化决策禁止杀熟自动化决策指通过计算机程序自动分析评估，作出影响个人权益的决定三项合规要求通过自动化决策作出对个人权益有重大影响的决定，个人有权要求说明并拒绝。司法实践认可"事前概括同意+事后选择机制"的合规模式。01禁止不合理差别待遇不得在交易价格等交易条件上实行不合理的差别待遇，即"大数据杀熟"02保证透明度向个人说明决策的基本逻辑03提供选择权提供不针对个人特征的选项，或便捷的拒绝方式跨境传输有三条路径个人信息确需出境，可从三条路径中选择其一安全评估通过国家网信部门组织的安全评估个人信息保护认证经专业机构认证人脸识别合规要点警示重庆某物业公司管理涉及人脸信息储备高达150万条，存在10个以上风险问题，被检察建议督促整改影响评估使用前须依法开展。单独同意充分知情前提下自愿、明确作出。未成年人保护不满十四周岁须征得监护人同意。本地化存储加密存储、加密传输，不超期留存。第三方协议未与数据处理者签署安全协议属违规。大型平台的守门人责任针对提供重要互联网平台服务、用户数量巨大、业务类型复杂的个人信息处理者，法律设定了更严格的守门人义务。建立合规制度体系按国家规定建立健全个人信息保护合规制度成立独立监督机构主要由外部成员组成，监督个人信息保护情况制定平台规则明确平台内处理者规范，对严重违规者停止服务定期发布社会责任报告接受社会监督平台掌握海量数据，一旦泄露滥用后果严重，法律责任相应加重CHAPTER合规实践合规是企业的必修课制度搭建与全生命周期管理双轮驱动04合规制度体系三位一体专项制度以个保法为核心制定《个人信息处理合规管理办法》嵌入现有制度避免冲突合规责任体系设立个人信息保护负责人（DPO）统筹业务、技术、法务建立“铁三角”协作协作流程手册针对高频场景编制标准操作流程明确谁来做、做什么、怎么做落地收集环节守住第一道闸门合法性基础选择：同意或合同必需，二者必居其一法合法性基础选择APP注册同意银行开户合同必需场景合规依据双轨并行小最小必要落实范围限制仅收集与业务目的直接相关的信息，不必要信息一律不采方式合规避免隐藏弹窗、默认勾选等暗箱操作，以清晰易懂、可撤回方式呈现告知颗粒化明确收集目的、方式、存储期限、共享对象重新告知扩大使用范围须重新告知并取得同意隐私政策+权限申请存储使用环节双重防线以完成处理目的为限，建立到期自动删除机制用户注销后应在合理期限内删除，勿因"遗忘式存储"引发风险调取敏感信息实行双人审批、操作留痕存存储期限管理到期自动删除以完成处理目的为限，建立到期自动删除机制注销后删除用户注销后应在合理期限内删除，勿因"遗忘式存储"引发风险级分级防护与去标识化分级防护敏感信息加密存储+严格权限，一般信息脱敏存储+日志审计去标识化哈希处理、脱敏替换，保留可恢复性匿名化彻底无法关联个人，不再受个保法约束调取控制敏感信息调取实行双人审批、操作留痕全生命周期与应急响应数据流转五环节环节01收集来源合法最小必要、告知同意环节02存储数据安全留存期限明确、加密存储环节03使用降低风险严格控制范围，去标识化处理环节04共享提供资质评估第三方评估，签署标准保护协议环节05删除销毁彻底销毁到期自动删除，匿名化或彻底销毁发现泄露立即启动预案，及时通知个人并报告监管部门；网络日志留存不少于

六个月6个月网络日志留存期限CHAPTER责任警示合规就是竞争力以案为鉴，明确红线，压实责任05医疗与交通数据泄露案一案例一·医院挂号系统窃取患者信息案情博某软件公司为医院开发挂号系统，暗中窃取患者信息

287万余条裁判单位罚金

30万元，主犯获刑

五年六个月，其余人员均获刑警示利用服务便利超授权收集信息，情节严重即构成犯罪二案例二·铁路客运员出售乘客行程信息案情陈某某利用职务查询乘客行程，以每条

10元至60元出售裁判获利约

19万元，获刑

三年八个月，罚金

20万元，责令公开赔礼道歉警示行业"内鬼"利用职务便利泄露信息，依法从重处罚黑产链条与网暴案例超大规模数据倒卖与开盒网暴，黑灰产业的犯罪后果触目惊心警示：窃取与诈骗等关联犯罪数罪并罚，从严惩处住宿信息倒卖案案情：非法获取全国4500家酒店近2000万条住宿记录，搭建查询网站获利超百万元裁判：获刑七年并处罚金，确立超大规模泄露“情节特别严重”量刑标杆开盒网暴案案情：非法获取公民信息6亿余条，搭建社工库网站提供查询1300余次裁判：数罪并罚，林某某获刑七年并处罚金七万元公益诉讼中的合规红线“最高检公益诉讼直击日常经营中的个人信息安全漏洞”通栏弱化三案均属最高检公益诉讼督办，涉及公民个人信息保护的重点领域。“停车、物业、招聘、旅游等高频生活场景同样面临严格监管”智慧停车场案河北保定·18家停车场App过度收集信息、强制关注公众号方能缴费整改完成

148项

安全漏洞修复规范处置敏感信息

2.8万余条小区人脸识别案重庆·3家物业企业未取得单独同意未签第三方安全协议逝者信息泄露案上海医疗机构从业人员倒卖逝者及家属信息检察院推动堵塞监管漏洞三重法律责任体系违反《个人信息保护法》将同时面临

刑事、行政、民事

三重法律追责，违规代价层层加码最高可处

五千万元

或上一年度营业额

百分之五

的罚款刑事责任3项入罪门槛违法所得

5000元以上

或信息

5000条以上

即入罪从重情形行业"内鬼"泄露从重处罚；窃取+诈骗等关联犯罪数罪并罚双罚制单位犯罪实行双罚制，既罚单位又罚直接责任人员行政责任2项责令整改网信部门可责令改正、警告、罚款责令停业情节严重的可责令暂停相关业务民事责任2项损害赔偿侵害个人信息权益须承担赔偿公益诉讼公益诉讼可依法追责