个人信息保护复习资料

个人信息保护复习资料核心知识点梳理（一）基础概念界定1.个人信息：根据《中华人民共和国个人信息保护法》（以下简称《个保法》）第4条规定，个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。判断某类信息是否属于个人信息，核心标准为“可识别性”，即能够通过该信息直接或间接锁定特定自然人身份。2.敏感个人信息：《个保法》第28条明确，敏感个人信息是一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，具体包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的所有个人信息。处理敏感个人信息需适用比普通个人信息更严格的法定规则。3.易混淆概念区分：（1）匿名化：指个人信息经过处理无法识别特定自然人且不能复原的过程，匿名化后的信息不属于个人信息范畴，不受《个保法》规制。（2）去标识化：指个人信息经过处理，使其在不借助额外信息的情况下无法识别特定自然人的过程，去标识化后的信息仍具备复原可能性，属于个人信息范畴，处理需符合《个保法》要求。4.个人信息处理者：指在个人信息处理活动中自主决定处理目的、处理方式的组织、个人，常见的个人信息处理者包括APP运营主体、电商平台、提供公共服务的事业单位、收集员工信息的用人单位等。5.自动化决策：指通过计算机程序自动分析、评估个人的行为习惯、兴趣爱好或者经济、健康、信用状况等，并进行决策的活动，常见应用场景包括个性化推荐、大数据风控、交易定价等。（二）个人信息处理基本原则《个保法》第5至11条明确了个人信息处理的7项法定原则，所有个人信息处理活动均需严格遵守：1.合法、正当、必要、诚信原则：处理个人信息应当遵守法律法规，符合正当目的，不得采取误导、欺诈、胁迫等方式获取个人信息，不得处理与处理目的无关的个人信息。2.目的明确、最小必要原则：处理个人信息应当具有明确、合理的目的，并应当与处理目的直接相关，采取对个人权益影响最小的方式；收集个人信息应当限于实现处理目的的最小范围，不得过度收集。例如外卖平台仅为完成配送需求收集用户实时位置信息属于合理范围，但若收集用户的常住地址、历史行程轨迹用于用户画像推送广告则属于过度收集。3.公开透明原则：处理个人信息应当公开处理规则，明示处理的目的、方式、范围，保障个人的知情权。4.质量保证原则：处理个人信息应当保证个人信息的质量，避免因个人信息不准确、不完整对个人权益造成不利影响。5.责任落实原则：个人信息处理者应当对其个人信息处理活动负责，并采取必要措施保障所处理的个人信息的安全。6.安全保障原则：个人信息处理者应当具备与所处理的个人信息规模、类型、风险等级相匹配的安全防护能力，防止个人信息泄露、篡改、丢失。7.禁止非法处理原则：任何组织、个人不得非法收集、存储、使用、加工、传输、提供、公开他人个人信息，不得非法买卖、提供或者公开他人个人信息；不得从事危害国家安全、公共利益的个人信息处理活动。（三）核心处理规则1.一般处理规则：除法定例外情形外，处理个人信息应当取得个人的同意，同意应当由个人在充分知情的前提下自愿、明确作出。个人有权撤回其同意，个人撤回同意不影响撤回前基于个人同意已进行的个人信息处理活动的效力。无需取得个人同意的法定例外情形包括：（1）为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需；（2）为履行法定职责或者法定义务所必需；（3）为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需；（4）为公共利益实施新闻报道、舆论监督等行为，在合理的范围内处理个人信息；（5）在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息，个人明确拒绝的除外；处理已公开的个人信息对个人权益有重大影响的，应当依法取得个人同意。2.敏感个人信息处理规则：处理敏感个人信息除需符合一般处理规则外，还需同时满足四项要件：（1）具有特定的目的；（2）具有充分的必要性；（3）采取严格的保护措施；（4）取得个人的单独同意。处理不满十四周岁未成年人个人信息的，应当取得未成年人的父母或者其他监护人的同意。3.自动化决策规则：依据《个保法》第24条规定，自动化决策应当遵守三项要求：（1）保证决策的透明度和结果公平、公正，不得对个人在交易价格等交易条件上实行不合理的差别待遇（即禁止“大数据杀熟”）；（2）通过自动化决策方式向个人进行信息推送、商业营销的，应当同时提供不针对其个人特征的选项，或者向个人提供便捷的拒绝方式；（3）通过自动化决策方式作出对个人权益有重大影响的决定的，个人有权要求个人信息处理者予以说明，并有权拒绝个人信息处理者仅通过自动化决策的方式作出决定。4.跨境提供规则：在中华人民共和国境内收集和产生的个人信息向境外提供的，应当符合三类法定路径之一：（1）通过国家网信部门组织的安全评估；（2）经专业机构进行个人信息保护认证；（3）按照国家网信部门制定的标准合同与境外接收方订立合同，约定双方的权利和义务。其中，关键信息基础设施运营者和处理个人信息达到国家网信部门规定数量的个人信息处理者，应当将在境内收集和产生的个人信息存储在境内，确需向境外提供的，应当通过国家网信部门组织的安全评估。（四）个人法定权利《个保法》第四章明确了个人在个人信息处理活动中享有的7项法定权利：1.知情权与决定权：个人有权了解其个人信息的处理情况，有权限制、拒绝他人对其个人信息进行处理，法律、行政法规另有规定的除外。2.查阅、复制权：个人有权向个人信息处理者查阅、复制其个人信息，法定情形除外。3.可携带权：个人请求将个人信息转移至其指定的个人信息处理者，符合国家网信部门规定条件的，个人信息处理者应当提供转移的途径。4.更正、补充权：个人发现其个人信息不准确或者不完整的，有权请求个人信息处理者更正、补充。5.删除权（被遗忘权）：符合下列情形之一的，个人有权请求个人信息处理者删除其个人信息：（1）处理目的已实现、无法实现或者为实现处理目的不再必要；（2）个人信息处理者停止提供产品或者服务，或者保存期限已届满；（3）个人撤回同意；（4）个人信息处理者违反法律、行政法规或者违反约定处理个人信息；（5）法律、行政法规规定的其他情形。法律、行政法规规定的保存期限未届满，或者删除个人信息从技术上难以实现的，个人信息处理者应当停止除存储和采取必要的安全保护措施之外的处理。6.解释说明权：个人有权要求个人信息处理者对其个人信息处理规则进行解释说明。7.救济权：个人信息权益受到侵害的，个人有权向履行个人信息保护职责的部门投诉、举报，也有权向人民法院提起诉讼；个人信息处理者侵害个人信息权益造成损害的，个人有权主张侵权损害赔偿。（五）个人信息处理者的法定义务1.安全保障义务：个人信息处理者应当根据个人信息的处理目的、处理方式、个人信息的种类以及对个人权益的影响、可能存在的安全风险等，采取下列措施确保个人信息处理活动符合法律、行政法规的规定，并防止未经授权的访问以及个人信息泄露、篡改、丢失：（1）制定内部管理制度和操作规程；（2）对个人信息实行分类管理；（3）采取相应的加密、去标识化等安全技术措施；（4）合理确定个人信息处理的操作权限，并定期对从业人员进行安全教育和培训；（5）制定并组织实施个人信息安全事件应急预案；（6）法律、行政法规规定的其他措施。2.风险评估义务：有下列情形之一的，个人信息处理者应当事前进行个人信息保护影响评估，并对处理情况进行记录：（1）处理敏感个人信息；（2）利用个人信息进行自动化决策；（3）委托处理个人信息、向其他个人信息处理者提供个人信息、公开个人信息；（4）向境外提供个人信息；（5）其他对个人权益有重大影响的个人信息处理活动。个人信息保护影响评估报告和处理情况记录应当至少保存3年。3.事件处置义务：发生或者可能发生个人信息泄露、篡改、丢失的，个人信息处理者应当立即采取补救措施，并通知履行个人信息保护职责的部门和个人。通知应当包括下列内容：（1）发生或者可能发生个人信息泄露、篡改、丢失的信息种类、原因和可能造成的危害；（2）个人信息处理者采取的补救措施和个人可以采取的减轻危害的措施；（3）个人信息处理者的联系方式。个人信息处理者采取措施能够有效避免信息泄露、篡改、丢失造成危害的，可以不通知个人；履行个人信息保护职责的部门认为可能造成危害的，有权要求个人信息处理者通知个人。4.法律责任：违反《个保法》规定处理个人信息，或者处理个人信息未履行《个保法》规定的个人信息保护义务的，由履行个人信息保护职责的部门责令改正，给予警告，没收违法所得，对违法处理个人信息的应用程序，责令暂停或者终止提供服务；拒不改正的，并处一百万元以下罚款；对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款。情节严重的，由省级以上履行个人信息保护职责的部门责令改正，没收违法所得，并处五千万元以下或者上一年度营业额百分之五以下罚款，并可以责令暂停相关业务或者停业整顿、通报有关主管部门吊销相关业务许可或者吊销营业执照；对直接负责的主管人员和其他直接责任人员处十万元以上一百万元以下罚款，并可以决定禁止其在一定期限内担任相关企业的董事、监事、高级管理人员和个人信息保护负责人。此外，个人信息侵权适用过错推定责任原则，个人信息处理者不能证明自己没有过错的，应当就其侵权行为承担损害赔偿等侵权责任。复习测试题（一）单项选择题（共15题）1.根据《个保法》规定，下列属于个人信息的是（）A.经过匿名化处理的用户消费数据B.去标识化后的用户浏览记录C.企业公开的工商登记联系电话D.已经公开的通缉犯身份信息2.下列选项中，不属于敏感个人信息的是（）A.用户的指纹识别信息B.用户的乙肝病史记录C.用户的工资银行卡号D.用户的公开工作单位名称3.《中华人民共和国个人信息保护法》的正式施行时间是（）A.2021年1月1日B.2021年11月1日C.2022年1月1日D.2022年11月1日4.个人信息处理者侵害个人信息权益造成损害，适用的归责原则是（）A.过错责任原则B.过错推定责任原则C.无过错责任原则D.公平责任原则5.处理不满十四周岁未成年人个人信息的，应当取得（）的同意。A.未成年人本人B.未成年人所在学校C.未成年人的父母或者其他监护人D.未成年人住所地的居委会6.某电商平台对不同消费水平的用户展示的同款商品价格不同，该行为违反了《个保法》关于（）的规定。A.个人信息查阅权B.自动化决策公平公正C.敏感个人信息处理规则D.个人信息跨境规则7.下列情形中，个人无权要求个人信息处理者删除其个人信息的是（）A.处理目的已经实现B.个人撤回之前作出的同意C.处理者违反约定处理个人信息D.公安机关为侦查案件留存的个人身份信息8.个人信息保护影响评估报告和处理情况记录应当至少保存（）A.1年B.2年C.3年D.5年9.个人信息处理者违反《个保法》规定情节严重的，最高可处（）罚款。A.一千万元B.五千万元C.上一年度营业额百分之三D.上一年度营业额百分之五10.除法定例外情形外，个人信息处理者处理个人信息首先应当取得（）A.监管部门的批准B.个人的同意C.行业协会的认证D.第三方机构的评估11.下列关于匿名化与去标识化的说法正确的是（）A.去标识化后的信息不属于个人信息B.匿名化后的信息可以通过额外信息复原到特定自然人C.去标识化后的信息处理仍需遵守《个保法》规定D.匿名化和去标识化没有本质区别12.下列关于个人信息可携带权的说法正确的是（）A.个人有权要求处理者将其个人信息转移至任意指定主体B.符合国家网信部门规定条件的，处理者应当提供转移途径C.可携带权仅适用于敏感个人信息D.处理者可以拒绝个人的可携带权请求无需说明理由13.下列主体中，不属于个人信息处理者的是（）A.自主决定收集用户位置信息的地图APP运营公司B.收集员工人脸信息用于考勤的企业C.受电商平台委托存储用户订单信息的云服务商（仅按委托要求存储，无自主处理权限）D.收集就诊患者医疗信息的公立医院14.下列主体中，应当将在境内收集产生的个人信息默认存储在境内的是（）A.小型电商平台B.关键信息基础设施运营者C.自媒体运营者D.线下零售商户15.下列个人信息处理活动中，不适用《个保法》的是（）A.境内企业处理境内用户的个人信息B.境外企业为向境内自然人提供产品或者服务处理境内自然人的个人信息C.自然人因个人或者家庭事务处理个人信息D.政府部门处理公民的个人信息（二）多项选择题（共10题）1.下列属于个人信息处理基本原则的有（）A.合法正当必要诚信原则B.目的明确最小必要原则C.公开透明原则D.安全保障原则2.下列情形中，处理个人信息无需取得个人同意的有（）A.为履行劳动合同约定的义务收集员工的工资卡信息B.公安机关为抓捕犯罪嫌疑人查询嫌疑人的行踪轨迹C.疫情防控期间为排查密接人员收集居民的行程信息D.电视台为曝光食品质量问题在新闻报道中合理使用经营者的个人信息3.下列选项中，属于敏感个人信息的有（）A.用户的人脸识别信息B.用户的糖尿病就诊记录C.用户的股票账户信息D.用户的实时打车行程轨迹4.下列属于个人在个人信息处理活动中享有的权利的有（）A.查阅复制权B.更正补充权C.删除权D.可携带权5.个人信息处理者向境外提供境内收集产生的个人信息的合法路径包括（）A.通过国家网信部门组织的安全评估B.经专业机构进行个人信息保护认证C.与境外接收方订立符合国家网信部门规定的标准合同D.与境外接收方自行订立合作协议6.下列情形中，个人信息处理者应当事前进行个人信息保护影响评估的有（）A.处理用户的医疗健康信息B.利用用户浏览记录进行个性化推荐C.将用户的订单信息提供给合作的物流公司D.将用户的个人信息传输至境外总部进行分析7.发生个人信息泄露事件后，个人信息处理者应当采取的措施包括（）A.立即采取补救措施降低损害B.通知履行个人信息保护职责的部门C.第一时间通知受影响的个人（法定可不通知的情形除外）D.记录事件相关情况留存备查8.下列关于《个保法》法律责任的说法正确的有（）A.违法处理个人信息的应用程序可以被责令暂停或终止提供服务B.情节严重的可以处上一年度营业额百分之五以下罚款C.直接责任人员最高可处一百万元罚款D.可以禁止相关责任人员一定期限内担任企业高管、个人信息保护负责人9.下列关于自动化决策的要求符合《个保法》规定的有（）A.公开自动化决策的规则B.不得对用户实行不合理的交易价格差别待遇C.个性化商业推送应当提供非个性化选项D.个人有权拒绝仅通过自动化决策作出的对其权益有重大影响的决定10.个人信息处理者处理个人信息时，应当向个人明示的内容包括（）A.处理的目的B.处理的方式C.处理的个人信息种类D.个人信息的保存期限（三）判断题（共10题）1.匿名化处理后的信息仍然属于个人信息，处理需遵守《个保法》规定。（）2.个人撤回对其个人信息处理的同意的，有权要求个人信息处理者删除其个人信息。（）3.处理不满十四周岁未成年人的个人信息，只要取得未成年人本人明确同意即可。（）4.电商平台对相同交易条件的不同用户收取不同的配送费属于“大数据杀熟”，违反《个保法》规定。（）5.个人信息处理者可以以商业秘密为由拒绝个人查阅其个人信息的请求。（）6.为公共利益实施新闻报道，在合理范围内处理个人信息无需取得个人同意。（）7.个人信息的保存期限越长越有利于保护个人权益，因此处理者可以尽量延长保存期限。（）8.个人信息处理者只要与境外接收方签订了合同，就可以向境外提供个人信息。（）9.个人主张个人信息侵权损害赔偿的，需要自行举证证明个人信息处理者存在过错。（）10.处理个人自行公开的个人信息不受任何限制，无需考虑对个人权益的影响。（）（四）案例分析题（共2题）1.案例背景：某生鲜配送APP在用户注册时强制要求用户授权读取手机通讯录、近1年的浏览历史、所有相册内容，用户拒绝授权则无法使用APP的下单功能。同时，该APP针对经常使用会员服务的高频用户，标注为“高消费等级”，对其展示的同款生鲜商品价格、配送费均比非会员用户高出10%至15%。2023年10月，该APP发生用户信息泄露事件，超过200万用户的手机号、收货地址、购买记录被泄露，平台发现泄露事件后未采取补救措施，也未通知用户和监管部门，导致大量用户收到诈骗短信，遭受财产损失。请结合《个保法》规定回答下列问题：（1）该APP的哪些行为违反了《个保法》规定？（2）受侵害的用户可以主张哪些权利？（3）监管部门可以对该APP运营主体作出哪些行政处罚？2.案例背景：某制造企业为方便员工考勤，在厂区门口安装人脸识别设备，要求所有员工必须录入人脸信息，否则不得进入厂区工作。企业人力资源部门将录入的3000余名员工的人脸信息、身份证号、家庭住址等信息打包出售给本地的房地产中介公司、保险公司，导致员工长期收到各类推销电话，部分员工甚至遭遇电信诈骗。请结合《个保法》规定回答下列问题：（1）该企业收集员工人脸信息的行为是否合法？请说明理由。（2）该企业出售员工个人信息的行为违反了哪些《个保法》规定？（3）受侵害的员工可以通过哪些途径维护自身合法权益？参考答案（一）单项选择题1.B2.D3.B4.B5.C6.B7.D8.C9.D10.B11.C12.B13.C14.B15.C（二）多项选择题1.ABCD2.ABCD3.ABCD4.ABCD5.ABC6.ABCD7.ABCD8.ABCD9.ABCD10.ABCD（三）判断题1.×2.√3.×4.