个人信息保护指南-含权利和维权方法

个人信息保护指南——含权利和维权方法【标签】个人信息保护法定权利维权方法投诉举报民事诉讼法律指南

【日期】2026年9月29日合规声明：本指南不包含任何网址链接、电子邮箱、电话号码等联系方式。涉及投诉举报渠道时，仅提供通用操作指引，读者可通过搜索引擎查找对应机构的官方入口。一、个人信息保护的法律框架与最新动态1.1核心法律体系个人信息保护的核心法律是《中华人民共和国个人信息保护法》（2021年11月1日起施行），共八章七十四条，涵盖总则、个人信息处理规则、跨境提供规则、个人权利、处理者义务、监管部门、法律责任和附则。《网络安全法》对网络运营者收集使用个人信息提出基本要求，《数据安全法》对数据处理活动中的安全保护作出规定，《民法典》人格权编将隐私权和个人信息保护纳入民事权利体系，《网络数据安全管理条例》对网络数据处理者的义务进行了细化。适用范围的“长臂管辖”：在中华人民共和国境外处理境内自然人个人信息的活动，如果以向境内自然人提供产品或者服务为目的，或者分析、评估境内自然人的行为，同样适用《个人信息保护法》。境外App或网站如果面向中国用户提供服务，也受该法约束。1.22026年最新监管动态2026年4月2日，中央网信办、工业和信息化部、公安部联合发布关于开展2026年个人信息保护系列专项行动的公告。公告明确，2026年将进一步深入治理App、SDK等服务产品以及互联网广告、教育、交通、卫生健康、金融等重点领域违法违规收集使用个人信息典型问题。七大重点治理领域：App和SDK违法违规收集使用个人信息专项治理；互联网广告领域专项治理；教育领域专项治理；交通领域专项治理；卫生健康领域专项治理；金融领域专项治理；个人信息相关违法犯罪案件专项打击治理。专项行动阶段性成效：截至2026年8月，专项行动累计对2万余款App、SDK个人信息收集使用情况开展核查检测，督促4000余款完成合规整改，对400余款采取下架等处置处罚措施。2026年9月20日，中央网信办通报了30款App个人信息收集使用问题，涉及未公开收集使用规则、强制索要非必要权限、未提供有效账号注销功能等四类问题，要求相关App运营者于通报发布之日起15个工作日内完成整改。同日，国家计算机病毒应急处理中心检测发现82款移动应用存在违法违规收集使用个人信息情况，涉及未通过弹窗提示用户阅读隐私政策、隐私政策未逐一列出收集使用目的方式范围等问题。合规审计新规：2025年5月1日起施行的《个人信息保护合规审计管理办法》规定，处理超过1000万人个人信息的个人信息处理者，应当每两年至少开展一次个人信息保护合规审计；处理超过100万、不超过1000万人个人信息的，每三年或四年至少开展一次合规审计；处理不超过100万人个人信息的，每五年至少开展一次合规审计。二、个人享有的七项核心权利《个人信息保护法》第四章专门规定了个人在个人信息处理活动中的权利。这些权利不是“纸面上的权利”——法律同时规定了实现路径：个人信息处理者应当建立便捷的个人行使权利的申请受理和处理机制；拒绝个人行使权利的请求的，应当说明理由；个人行使权利的请求被拒绝时，可以向人民法院提起诉讼。2.1知情权与决定权个人对其个人信息的处理享有知情权、决定权，有权限制或者拒绝他人对其个人信息进行处理。基于个人同意处理个人信息的，同意应当由个人在充分知情的前提下自愿、明确作出。默认同意、被动同意、以继续使用为条件强迫同意等，均不视为有效同意。撤回同意的权利：个人有权撤回其同意，个人信息处理者应当提供便捷的撤回同意的方式。撤回同意不影响撤回前基于个人同意已进行的个人信息处理活动的效力。个人信息处理者不得以个人不同意处理其个人信息或者撤回同意为由，拒绝提供产品或者服务，处理个人信息属于提供产品或者服务所必需的除外。2.2查阅、复制权个人有权向个人信息处理者查阅、复制其个人信息。当个人请求查阅、复制被拒绝时，可以向人民法院提起诉讼。需要注意的是，个人因行使查阅、复制等权利向法院起诉的，应当提供个人信息处理者拒绝个人行使权利请求的初步证明材料。“拒绝”既包括处理者以口头或书面方式作出拒绝的意思表示，也包括处理者在合理期限内未对个人的请求作出回复的情形。2.3更正、补充权个人发现其个人信息不准确或者不完整的，有权请求个人信息处理者更正、补充。2.4删除权当信息不准确或无需留存时，个人有权要求删除。个人信息处理者应当主动删除个人信息的情形包括：处理目的已实现、无法实现或者为实现处理目的不再必要；个人信息处理者停止提供产品或者服务，或者保存期限已届满；个人撤回同意；个人信息处理者违反法律、行政法规或者违反约定处理个人信息；法律、行政法规规定的其他情形。2.5可携带权（转移权）个人有权请求将个人信息转移至其指定的个人信息处理者，符合国家网信部门规定条件的，个人信息处理者应当提供转移的途径。2.6要求解释说明权个人有权要求个人信息处理者对其个人信息处理规则进行解释说明。2.6死者个人信息权利自然人死亡后，其近亲属为了自身的合法、正当利益，可以对死者的相关个人信息行使查阅、复制、更正、删除等权利，但死者生前另有安排的除外。三、敏感个人信息的特别保护3.1什么是敏感个人信息敏感个人信息是一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。3.2敏感信息的处理要求处理敏感个人信息应当取得个人的单独同意。所谓“单独同意”，是指不能以“概括同意”“默认勾选”替代，需要由个人信息主体通过独立页面、分项勾选等肯定性动作作出同意表示。法律、行政法规规定处理敏感个人信息应当取得书面同意的，从其规定。处理敏感个人信息还应当向个人告知处理敏感个人信息的必要性以及对个人权益的影响。3.3人脸信息的特殊规则人脸信息属于生物识别信息，是敏感个人信息中保护要求最高的一类。人脸信息仅在具有特定目的、充分必要性，且取得个人单独同意的前提下方可处理。强制“刷脸”的违法认定：某野生动物世界将入园方式由指纹识别变更为人脸识别，法院认定未经消费者同意以“刷脸”方式入园为由擅自收集个人信息，构成侵权，应当承担民事侵权责任。某小区物业强制要求业主使用人脸识别道闸系统，法院判决物业立即删除采集到的业主信息，同时提供出入小区物业区域的其他合理验证方式。重庆某置业公司在办公场所安装10余处图像采集设备，收集存储客户人脸信息5000余条，未真实准确完整告知收集目的，未取得客户单独同意，被属地网信办责令改正。3.4未成年人个人信息保护《未成年人网络保护条例》第三十七条规定，个人信息处理者应当自行或者委托专业机构每年对其处理未成年人个人信息遵守法律、行政法规的情况进行合规审计，并将审计情况及时报告网信等部门。个人信息处理者处理未成年人个人信息，无论是否对未成年人身份进行识别，都应当开展年度合规审计。四、常见侵权场景与典型案例4.1高频侵权场景侵权场景典型表现法律定性APP过度索权要求开启通讯录、定位等非必要权限违反最小必要原则强制收集人脸小区、超市、写字楼强制“刷脸”违反单独同意要求大数据杀熟同一服务对不同用户显示不同价格利用自动化决策侵害消费者权益信息泄露装修公司、医疗机构泄露客户信息处理者未履行安全保障义务“网络开盒”公开他人姓名、身份证号、住址等侵害个人信息权益平台未提供删除渠道找不到注销账号或删除个人信息的入口违反权利保障义务变相强制收集扫码点餐必须提供手机号才能点餐违反消费者权益保护规定APP过度索权是投诉最集中的问题。2026年个人信息保护系列专项行动明确重点治理七类问题：未公开个人信息收集使用规则、未提供有效注销用户账号功能、未建立公布投诉举报渠道、未完整准确告知收集使用情况、未经同意收集使用、违反必要原则收集、强制频繁索取权限。南京某科技有限公司运营的APP天气功能以“提供精准定位的天气服务”为由索要位置权限，且在后台静默期间也调用用户位置信息，超范围获取个人信息，被属地网信办依法责令改正并予以警告处罚。4.2典型案例与法律启示案例一：“网络开盒”公益诉讼案周某某等6人非法曝光1200余条明星、“网红”等个人信息。检察机关提起民事公益诉讼，诉请周某某等人停止侵权、删除相关个人信息，并承担10万元公益损害赔偿金。法院判决支持检察机关全部诉讼请求，各被告已支付赔偿金并公开赔礼道歉。启示：“开盒”行为不仅侵害个人权益，还可能触发公益诉讼。遭遇“开盒”时，应立即对泄露信息进行截图或保存链接，通过平台举报渠道要求删除侵权信息，同时向网信部门举报，如果认为可能构成犯罪，可以向公安机关报案。案例二：医疗卫生机构泄露逝者及亲属信息2021年7月至2025年3月，上海市闵行区某医院医生及区急救中心急救人员利用工作便利，通过疾病控制信息管理系统或救护车显示屏获取逝者住址、死亡时间、原因、亲属姓名、联系方式等个人信息800余份，违法提供给殡葬行业从业人员并获取非法利益。检察机关通过制发检察建议督促行政机关依法履职，卫健委对涉案医院作出责令改正、警告、罚款的行政处罚，对涉案医生作出警告、罚款、暂停执业活动的行政处罚。启示：逝者及其亲属的个人信息同样受法律保护。医疗机构工作人员利用职务便利获取并泄露个人信息，不仅面临行政处罚，还可能承担刑事责任。案例三：装修公司泄露客户信息导致骚扰电话苏女士装修房子后持续接到装修、贷款的骚扰电话，怀疑装修公司泄露其手机号。上海某装修服务企业客户数据泄露案中，该企业业务系统存有合同信息、报价信息、客户信息等数据，内部人员为工作便利将内部数据库向互联网开放，相关数据未作加密存储，未开展网络安全等级保护工作，存在未授权访问漏洞。网信部门依法责令企业限期改正，并予以警告、罚款处罚。启示：向商家提供个人信息后遭遇骚扰，商家“不承认”不影响维权。起诉时商家需要证明自己没有过错，举证责任在商家一方。案例四：餐饮企业变相强制收集个人信息消费者在使用某餐饮企业运营的扫码点餐小程序进行“到店点餐”时，必须提供个人手机号码，如不提供则无法完成点餐。该行为已构成变相强制消费者同意收集与经营活动无直接关系的个人信息的行为，市场监管部门依法责令该企业限期改正，并予以警告处罚。启示：以“不提供信息就无法使用服务”为条件收集非必要个人信息，属于变相强制收集，违反消费者权益保护相关规定。案例五：医院工作人员向殡葬业违法提供逝者信息获利上海市闵行区某医院医生及区急救中心急救人员利用工作便利，违法提供逝者及其亲属个人信息给殡葬从业人员并获取非法利益。卫健委对涉案医院作出行政处罚，对涉案医生作出警告、罚款、暂停执业活动的行政处罚。启示：即使信息来源于职务行为，未经授权向第三方提供即构成违法。五、维权方法：从轻到重的五条路径5.1路径一：向个人信息处理者直接主张权利这是成本最低、速度最快的方式。如果发现自己的个人信息被不当处理，首先向处理者提出请求，要求停止侵害、删除信息、更正信息等。操作要点：通过官方客服渠道、App内的“个人信息保护”或“隐私设置”入口提交请求。保留提交记录和对方回复。如果对方在合理期限内未回复或明确拒绝，这些记录就是后续维权的初步证明材料。5.2路径二：向信息所在平台投诉如果侵权信息发布在某个平台（如社交媒体、论坛、电商平台），可以直接向该平台投诉，要求删除、屏蔽或断开链接。主要平台的投诉操作：平台操作路径微信朋友圈长按对方头像→投诉→侵权→选择具体侵权类型微博点击右上角“…”→投诉→侵权保护专区→权益投诉→人身权益抖音长按视频→举报→侵犯权益→泄露隐私哔哩哔哩点击右上角“︙”→举报→侵犯个人人身权益平台的法律义务：权利人有权通知网络服务提供者采取删除、屏蔽、断开链接等必要措施。通知应当包括构成侵权的初步证据及权利人的真实身份信息。平台接到有效通知后，未及时采取必要措施的，对损害的扩大部分与侵权行为人承担连带责任。5.3路径三：向监管部门投诉举报中央网信办举报中心：这是个人信息保护领域最核心的行政投诉渠道。可通过其官方网站的“侵权类”举报入口提交举报，或通过其举报热线反映，也可发送举报邮件。举报时需要提供的材料包括：个人身份证明（证明你是权利人本人）；侵权信息所在页面的链接或截图；详述举报理由。如果是个人手机号码被发布到网上，还需提供手机号码归属证明（营业厅打印的交费单或运营商APP中展示号码归属人的页面截图等）。如替他人举报，需提供您的身份证明、他人身份证明及授权委托书。工信部举报中心：主要受理垃圾信息、骚扰电话等通信领域的个人信息侵权问题。可通过其举报热线或官方网站反映。市场监管部门投诉平台：如果个人信息侵权涉及消费者权益（如商家泄露消费者信息、大数据杀熟、变相强制收集等），可以通过市场监管部门的投诉渠道反映。投诉举报的法律保障：《个人信息保护法》第六十五条规定，任何组织、个人有权对违法个人信息处理活动向履行个人信息保护职责的部门进行投诉、举报。收到投诉、举报的部门应当依法及时处理，并将处理结果告知投诉、举报人。5.4路径四：向公安机关报案如果泄露行为涉嫌侵犯公民个人信息罪，可以向公安机关刑事报案。根据《刑法》第二百五十三条之一，违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。5.5路径五：向人民法院提起民事诉讼起诉条件：个人行使权利请求被拒绝（包括口头或书面拒绝、合理期限内未回复），可以向人民法院提起个人信息保护纠纷之诉。可以主张的诉讼请求：停止侵害（要求删除信息、停止处理）；赔礼道歉、消除影响；赔偿损失（包括财产损失和精神损害抚慰金）；如果个人信息被用于诈骗等犯罪活动造成财产损失的，可以一并主张赔偿。举证责任：《个人信息保护法》第六十九条规定，处理个人信息侵害个人信息权益造成损害，个人信息处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任。这意味着举证责任部分转移到了处理者一方——你只需要证明损害存在和对方实施了处理行为，对方需要证明自己没有过错。司法实践中，个人信息侵权案件的精神损害赔偿支持率约为26.41%，法院通常综合行为人过错程度、个人信息敏感程度、可否合理预见等因素酌定赔偿金额。诉讼时效：向人民法院请求保护民事权利的诉讼时效期间为三年，自你知道或者应当知道权利受到损害之日起计算。5.6检察机关公益诉讼如果个人信息侵权行为涉及面广、侵害众多个人权益，检察机关可以提起公益诉讼。2026年1月，最高人民检察院发布了一批个人信息保护检察公益诉讼典型案例，涉及智慧停车场、小区人脸识别、网络虚假招聘、“网络开盒”、逝者及其亲属个人信息泄露等场景。北京大学法学院教授王锡锌点评指出，检察公益诉讼已成为我国个人信息保护治理体系中重要的组成部分，检察机关已成为个人信息安全重要的守护者。如果你发现某类侵权行为影响范围广泛，可以向当地检察机关反映线索。六、实用操作模板6.1个人信息权利行使请求书（模板）致：____（个人信息处理者名称）请求人：____（姓名）请求事项：□查阅并复制本人的个人信息□更正/补充以下不准确的个人信息：____□删除本人的个人信息□撤回对以下处理活动的同意：____□将本人的个人信息转移至____（指定处理者）□要求对个人信息处理规则进行解释说明事实与理由：本人于年月日通过__（渠道）向你方提供个人信息，用于__（目的）。现因__（原因），依据《个人信息保护法》第__条的规定，请求你方在个工作日内予以处理。请求人签字：___日期：___送达方式：□电子邮件□书面邮寄□平台内提交保留证据提示：提交请求时，保留提交截图、邮件发送记录、快递单号等。如果对方在15个工作日内未回复，视为“拒绝”，可以据此向监管部门投诉或向法院起诉。6.2个人信息侵权投诉举报材料清单序号材料名称说明是否已准备1个人身份证明身份证复印件或照片□2侵权信息截图或链接清晰显示侵权内容、发布平台、发布时间□3与侵权方的沟通记录聊天记录、邮件、通话录音等□4信息提供证明合同、订单、注册记录等证明曾向对方提供信息□5损害证明骚扰电话记录、短信截图、经济损失凭证等□6权利行使请求及回复向处理者提出请求的记录及对方的回复（如有）□6.3个人信息侵权维权路径选择速查侵权情形首选路径备选路径平台上的侵权信息向平台投诉删除向网信部门举报APP过度收集信息向网信部门举报/向工信部门举报向市场监管部门投诉商家泄露消费者信息向市场监管部门投诉民事诉讼骚扰电话/短信向工信部门举报向运营商投诉个人信息被用于诈骗公安机关报案民事诉讼大规模信息泄露事件向网信部门举报+检察机关公益诉讼线索反映集体诉讼七、常见问题与避坑指南7.1维权中的五个常见误区误区一：“我没损失，所以不能维权”。个人信息侵权不要求实际经济损失。即使没有直接经济损失，也可以主张停止侵害、删除信息、赔礼道歉。造成严重精神损害的，可以主张精神损害抚慰金。误区二：“对方不承认，我就没办法”。《个人信息保护法》第六十九条将举证责任部分转移到了处理者一方——处理者不能证明自己没有过错的，应当承担侵权责任。你只需要提供初步证据，对方需要自证清白。误区三：“维权要先打官司”。投诉举报和民事诉讼是两条独立的路径，可以同时进行。向网信部门举报不需要先打官司，向平台投诉删除也不需要。误区四：“个人信息保护法只管大公司”。法律适用于所有个