个人信息保护合规第01页：研究总览与背景定位

01 · 研究背景与意义

1.1 立法演进：从分散条款到专门立法

中国个人信息保护的制度演进经历了「散见于各部门法 → 基础法确立规则 → 专门法系统规范 → 配套法规细化落地」四个阶段。2017年6月1日施行的《网络安全法》第41至44条首次以法律形式确立了个人信息收集使用的基本规则（合法正当必要、知情同意、删除更正权），但条文仅4条，规则密度不足；2021年1月1日施行的《中华人民共和国民法典》人格权编在第1032条至1039条将隐私权与个人信息保护纳入民事权利体系，其中第1034条给出了个人信息的基础定义（「个人信息是以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息」）；2021年8月20日，第十三届全国人大常委会第三十次会议表决通过《个人信息保护法》，自2021年11月1日起施行，共8章74条，与《数据安全法》（2021年9月1日施行）共同构成数据保护领域的「双法」格局；2025年1月1日《网络数据安全管理条例》施行后，个人信息保护义务进一步细化为可操作的行政法规要求，2025年5月1日《个人信息保护合规审计管理办法》施行使审计成为法定动作，2025年10月28日，全国人大常委会通过关于修改《网络安全法》的决定（2026年1月1日施行）：新增人工智能安全治理原则条款，明确网络运营者处理个人信息应当遵守《民法典》《个人信息保护法》等法律、行政法规（修正后第42条第2款），并重构罚款体系、按危害后果设置阶梯式处罚（部分条款单位罚款上限提高至1000万元）。至此，「法律—行政法规—部门规章—国家标准」四层规范体系完整成型。

1.2 个人信息保护区别于数据安全的四重特殊性

• 主体广泛性：个人信息保护的权益主体是每一个自然人，义务主体覆盖一切「个人信息处理者」——无论企业规模与行业，只要处理个人信息即落入个保法适用范围（第2条），这与等保、关基等以「系统/设施」为中心的制度有本质差异。
• 损害不可逆性：个人信息一旦被泄露或非法使用（尤其生物识别、金融账户、行踪轨迹等敏感信息），自然人无法像重置密码一样「重置」自己的人脸或身份，损害呈持续放大效应（精准诈骗、身份冒用），这解释了法律为何对敏感个人信息设特别规则（第28—32条）。
• 处理链条复杂性：App—SDK—云服务商—外包商—境外接收方的多层委托与共享链条，使「谁在何时处理了什么信息」难以还原，合规必须从「单点审查」转向「全链路映射」（数据映射/RoPA）。
• 证据过程性：合规与否取决于过程证据——告知的版本、同意的记录、评估的报告、审计的底稿，均须留痕保存（如第56条要求影响评估报告和处理情况记录至少保存三年），「做了但无法证明」在法律上等同于「没做」。

1.3 不合规的真实代价

02 · 研究目标与关键问题

• 义务图谱完备性目标：将个保法8章74条及配套法规拆解为「义务项—适用场景—责任主体—合规证据」四对应的清单，做到逐条可查、逐项可核（第2页）。
• 处理规则可判定性目标：将合法性基础、告知同意、最小必要、敏感信息、自动化决策等抽象规则转化为「场景→判断要件→判定结论」的决策树，支撑业务与法务一线使用（第3页）。
• 评估审计可操作化目标：形成PIA评估模板与合规审计检查表，使评估与审计从「文书工作」转向「风险发现与整改闭环」（第4页）。
• 生态治理自动化目标：覆盖App—SDK—小程序全生态的检测方法与整改机制，服务监管通报应对与企业自查（第5页），并以技术手段支撑持续合规（第7页）与可度量运营（第8页）。

2.1 三个关键研究问题（KQ）

03 · 个人信息保护制度全景

3.1 四层效力体系（截至2026年9月）

3.2 制度演进关键时间线

04 · 术语速查与常见误区

4.1 核心术语

4.2 常见误区辨析

05 · 研究范围与合规边界

• 对象范围：以中国《个人信息保护法》及配套法规为主线，覆盖告知同意、敏感信息、自动化决策、委托与共享、跨境提供、个人权利、PIA、合规审计、App/SDK生态等全主题；兼顾GDPR等域外制度的对照（第2页），服务出海企业双重合规。
• 场景范围：覆盖App、小程序、Web、IoT、职场管理、公共场所采集、金融/医疗/教育等重点行业场景；未成年人、死者、守门人等特殊主体单列（第6页）。
• 深度边界：做到「条文—场景—操作—证据」全链条；不构成法律意见，具体个案应咨询执业律师与具备资质的专业机构；不逐条抄录受版权保护的标准原文，标准条款编号以正式出版文本为准。
• 时效声明：法规状态截至2026年9月，均以官方公布文本为准；规章修订、标准更新后应重新核对。文中时限类数据（如备案期限、审计周期）引自现行有效文件。
• 协同边界：数据分类分级技术输入属子课题01；出境制度与路径细节属子课题03（本子课题第6页仅保留个保法视角的规则要点）；脱敏、多方安全计算等隐私增强技术属子课题04；访问控制与审计日志技术属子课题05；泄露监测与事件响应联动属子课题06。

06 · 与课题体系的协同关系

07 · 预期成果与交付物

• 《个人信息保护义务图谱（74条逐条释义版）》（条文—场景—证据三对应清单，第2页）
• 《处理活动合规判定决策树与场景手册》（合法性基础选择、单独同意触发、委托/提供/转让区分，第3页）
• 《PIA评估模板与合规审计检查表》（评估报告要素、风险矩阵、12项审计要点，第4页）
• 《App/SDK合规自查与通报整改手册》（六类违规认定对照、检测能力矩阵、整改闭环流程，第5页）
• 《特殊场景合规指引（出境/未成年人/人脸/职场/守门人）》（第6页）
• 《个保合规技术实施基线》（同意管理CMP、数据发现、DSR自动化、证据链配置模板，第7页）
• 《个保合规度量指标体系与成熟度路线图》（KPI/KRI、五级成熟度、三阶段路线图，第8页）

08 · 本节参考来源（第1页）

以下均为真实可查的权威来源（中国人大网、中国政府网、中国网信网、国家标准全文公开系统、工信部、TC260），用于支撑本页事实性表述。