01 · 个保法的规范结构与立法定位
《个人信息保护法》（以下简称「个保法」）共8章74条，以「处理活动」为规范对象，形成了总则定原则、第二章定规则、第三章管跨境、第四章赋权利、第五章定义务、第六章定监管、第七章定责任、附则定概念的完整结构。其立法定位是个人信息保护领域的基础性、综合性法律：既确立自然人对其个人信息的人格权益，又为处理者设定义务体系，还为监管部门配置执法工具（含约谈、审计要求、公益诉讼衔接等）。
| 章节 | 核心内容 | 关键条文锚点 |
|---|---|---|
| 第一章 总则 | 立法目的与适用范围；处理个人信息的基本原则（合法、正当、必要、诚信，不得通过误导、欺诈、胁迫等方式处理）；处理者责任与一般义务；国家网信部门统筹协调 | 第4—6条（原则与最小必要）；第9条（处理者责任）；第11条（禁止非法收集买卖提供） |
| 第二章 个人信息处理规则 | 一般规定（合法性基础、告知、同意、保存期限、共同处理、委托、提供、公开、公共场所采集）；敏感个人信息的特别规定；国家机关处理个人信息的特别规定 | 第13—32条；敏感信息第28—32条；国家机关第34—37条 |
| 第三章 个人信息跨境提供的规则 | 出境三条件（评估/认证/标准合同）；单独同意与告知；境内存储义务（CIIO与达量处理者）；国际司法执法提供审批 | 第38—41条；境内存储第40条；司法协助第41条 |
| 第四章 个人在个人信息处理活动中的权利 | 知情权、决定权、查阅复制权、可携带请求、更正补充权、删除权、解释说明权、死者近亲属权利 | 第44—50条；可携带第45条第3款；删除第47条 |
| 第五章 个人信息处理者的义务 | 内部制度与技术措施；负责人指定；培训；影响评估；泄露应急；守门人特别义务；受托人义务 | 第51—59条；负责人第52条；PIA第54—56条；泄露第57条 |
| 第六章 履行个人信息保护职责的部门 | 网信统筹协调；国务院有关部门及地方分工；约谈与合规审计要求权；投诉举报机制 | 第60—65条；约谈与强制审计第64条 |
| 第七章 法律责任 | 行政处罚三档；民事过错推定；公益诉讼；刑事责任衔接；信用惩戒 | 第66—71条 |
| 第八章 附则 | 关键概念定义：处理、自动化决策、去标识化、匿名化、个人信息处理者等；施行日期 | 第72—74条 |
02 · 与相邻法律的关系图谱
个保法并非孤立运行，其与民法典、网络安全法、数据安全法等共同构成个人信息保护的法律网络。处理者在具体场景中必须完成「多法叠加适用」的判断：
| 法律 | 与个人信息保护的衔接点 |
|---|---|
| 《民法典》人格权编 | 第1032条界定隐私权与私人生活安宁；第1033条列举侵害隐私权的行为（侵扰、拍摄、窃听、公开等）；第1034条界定个人信息并明确隐私权与个人信息保护的关系；第1035—1039条规定处理原则、免责事由、信息主体的查阅复制与更正删除权、信息处理者安全保障义务。个保法将民事权利保护具体化为处理者的公法义务 |
| 《网络安全法》（2025年10月28日修正，2026.1.1施行修正版） | 第41—44条确立收集使用规则（合法正当必要、公开规则、明示目的方式范围并经同意）、删除更正权与投诉渠道；修正后新增第42条第2款：网络运营者处理个人信息应当遵守《民法典》《个人信息保护法》等法律、行政法规；重构罚则体系，按危害后果设置阶梯式罚款（部分条款单位罚款上限提高至1000万元、责任人上限100万元），并首次将人工智能安全治理纳入法律框架 |
| 《数据安全法》 | 以数据为对象确立分类分级与重要数据保护；个人信息即数据的一种，处理个人信息同时须满足数据安全管理要求（如重要数据识别申报、风险评估义务经《网数条例》细化） |
| 《消费者权益保护法》及实施条例 | 2024年7月1日施行的《消费者权益保护法实施条例》第23条明确经营者处理消费者个人信息应遵守的告知同意、安全保障与删除义务，市场监管部门依此开展执法；消费者协会可依法提起消费民事公益诉讼 |
| 《未成年人保护法》与《未成年人网络保护条例》 | 未保法设「网络保护」专章（2021年6月1日施行）；《未成年人网络保护条例》（2024年1月1日施行）细化网络素养促进、网络欺凌防治、沉迷防治与未成年人个人信息保护要求，与个保法第31条、儿童规定衔接 |
| 《刑法》第253条之一 | 侵犯公民个人信息罪：违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的处三年以上七年以下有期徒刑，并处罚金。2017年「两高」司法解释明确「情节严重」的量化标准（如行踪轨迹、通信内容、征信信息、财产信息50条以上，其他信息5000条以上等） |
适用提示：同一处理行为可能同时触发多部法律的责任条款。例如App超范围收集个人信息，既违反个保法第6条（行政责任），也侵害消费者知情权（消保法），情节严重的还可能触及刑法第253条之一。合规设计应按「最严义务」取并集，而非择一适用。
03 · 核心条款精读与合规要点
| 条文 | 核心规则 | 合规要点 |
|---|---|---|
| 第4条 | 处理个人信息应当遵循合法、正当、必要和诚信原则，不得通过误导、欺诈、胁迫等方式处理个人信息 | 「诚信」入法意味着产品交互设计本身受审查：埋点诱导、话术欺瞒、强制授权均违反本条的独立构成要件，不以是否取得同意为转移 |
| 第5条 | 应当具有明确、合理的目的，并与处理目的直接相关；采取对个人权益影响最小的方式 | 处理目的须事前明确并文档化，事后追认无效；「影响最小」要求在设计阶段比较替代方案（如匿名化统计 vs 收集明细） |
| 第6条 | 限于实现处理目的的最小范围，不得过度收集；收集频率、数量、字段均纳入最小必要判断 | App合规的直接标尺：申请权限、收集字段、采集频率三者均须与功能目的匹配（第5页展开检测方法） |
| 第13条 | 列举七项合法性基础：同意；订立履行合同所必需；履行法定职责或义务所必需；应对突发公共卫生事件或紧急保护生命健康财产所必需；新闻报道舆论监督合理范围所必需；合理范围内处理已合法公开的个人信息；法律行政法规规定的其他情形 | 同意不是唯一选项，也不是最优选项——能用合同必需、法定职责等基础时不应滥用同意；不同功能模块应分别匹配基础并留档论证 |
| 第14—16条 | 同意须在充分知情前提下自愿、明确作出；处理目的方式种类变更应重新取得同意；不得因不同意或撤回同意拒绝提供产品或服务（处理个人信息属提供服务所必需的除外） | 同意有效性三要件：充分知情、自愿、明确。基本功能不依赖的权限不得绑架授权；「不同意就不能用」仅在功能必需时成立 |
| 第17条 | 以显著方式、清晰易懂的语言真实、准确、完整地告知：处理者名称联系方式；处理目的、方式、种类、保存期限；权利行使方式与程序；其他法定事项 | 告知四要素；文本须版本化存档，界面须可感知（弹窗/入口），更新须提示；GB/T 35273-2020给出告知文本撰写实务指引 |
| 第19条 | 保存期限应当为实现处理目的所必要的最短时间；法律行政法规另有规定除外 | 超期留存即违法，哪怕信息是合法收集的；到期删除机制（含备份介质）须可验证，「到期即删」应写入数据生命周期策略 |
| 第24条 | 自动化决策应保证透明度和结果公平公正；通过自动化决策进行信息推送、商业营销应同时提供不针对个人特征的选项或便捷拒绝方式；不得进行不合理差别待遇 | 「大数据杀熟」的直接法源；个性化推荐的「关闭键」是执法高频检查点（算法推荐规定第17条要求提供关闭选项） |
| 第28—32条 | 敏感个人信息定义与特别保护：特定目的与充分必要性、严格保护措施、单独同意、告知处理敏感信息的必要性与对个人权益的影响；处理未成年人信息应取得监护人同意并制定专门规则 | 敏感信息是「目的限定+单独同意+PIA+严格保护」四重叠加场景，第4页给出PIA操作模板 |
| 第44—47条 | 知情权、决定权与限制拒绝权；查阅复制权（及时提供，有法定保密除外情形）；可携带权（符合国家网信部门规定条件时提供转移途径）；更正补充权；删除权（目的实现/停止服务/期限届满/撤回同意/违法违约处理等五种情形） | 权利响应机制是执法与诉讼高频点：渠道畅通、身份核验、时限承诺、执行留痕四环节缺一不可（第7页给自动化方案） |
| 第51条 | 处理者应制定内部管理制度与操作规程，实行分类管理，采取加密、去标识化等安全技术措施，合理确定操作权限，定期对从业人员进行安全教育和培训，制定并组织实施个人信息安全事件应急预案 | 「制度—技术—人员—应急」四位一体的义务清单，是审计检查的第一组核查项（第4页检查表对应） |
| 第52条 | 处理个人信息达到国家网信部门规定数量的处理者应指定个人信息保护负责人，公开其联系方式并报送履行保护职责的部门 | 「达量」门槛已由2025年审计办法第12条明确为处理100万人以上个人信息；负责人不是名誉职务，需实质统筹权限并向管理层报告（第8页组织职责展开） |
| 第57条 | 发生或可能发生个人信息泄露、篡改、丢失的，应立即采取补救措施，并通知履行保护职责的部门和个人（可有效避免危害的可不通知个人） | 「通知监管」无条件义务、「通知个人」以补救效果为例外；通知方式须能到达个人（公告仅在无法逐一送达时兜底）——与子课题06应急响应联动 |
| 第66条 | 行政处罚三档：一般违法责令改正警告没收+App可责令暂停终止服务，拒不改正处100万以下；情节严重处5000万以下或上年营业额5%以下，可责令暂停业务、停业整顿、吊销许可或营业执照；责任人处10万—100万并可限任 | 营业额百分比罚则使大型企业面临亿元级风险；合规投入与罚款风险严重不对称，审计常态化是降险核心手段 |
04 · 监管体制与执法格局
个保法第60—65条确立「网信统筹协调+部门分工+属地监管」的体制：国家网信部门负责统筹协调和监督管理；国务院有关部门（工信、公安、市场监管、金融监管等）在各自职责范围内负责保护；县级以上地方人民政府有关部门按职责执行。执法工具箱包括责令改正、警告、没收违法所得、约谈（第64条）、责令暂停/终止App服务、强制审计要求，以及移送司法机关。检察机关与消费者组织通过公益诉讼形成外部制衡。
| 时间 | 案例 | 要点与影响 |
|---|---|---|
| 2020年至今 | 工信部App侵害用户权益常态化通报 | 自2020年起建立常态化检测通报机制，依托全国App技术检测平台持续抽检，累计通报存在侵害用户权益问题的App（含小程序、SDK）数千款次，部分App被下架或限期整改。通报问题集中在「超范围收集、违规收集个人信息、强制频繁过度索权、违规自启动、欺骗误导强迫、账号注销难」六类 |
| 2022年7月 | 滴滴全球股份有限公司被罚80.26亿元 | 国家网信办通报其存在16项违法事实（违法处理个人信息647.09亿条、危害国家数据安全等），对滴滴处80.26亿元罚款，对董事长兼CEO程维、总裁柳青各处100万元罚款。确立「违法处理个人信息规模」直接决定处罚量级的威慑逻辑 |
| 2023年9月 | 知网（CNKI）被罚5000万元 | 国家网信办依法对知网作出网络安全审查相关行政处罚：违法处理个人信息行为违反《数据安全法》《个人信息保护法》等，处5000万元罚款。学术平台的数据处理同样纳入高强度执法视野 |
| 2023年5月 | 爱尔兰DPC对Meta处12亿欧元罚款 | 因Facebook将欧洲用户数据传输至美国未满足充分保护要求，DPC依据GDPR开出史上最大罚单（欧洲法院Schrems II判决的执法落地），跨境传输合规的全球标杆案例 |
| 2023年4月 | 英国ICO对TikTok处1270万英镑罚款 | 因2018—2020年间违反UK GDPR处理13岁以下儿童数据（未合理验证年龄、未有效取得监护人同意），凸显未成年人信息的全球执法敏感性 |
| 2025年 | 《个人信息保护合规审计管理办法》施行 | 将「监管发现较大风险或发生安全事件可要求强制审计」法定化，处理超1000万人个人信息的处理者每两年至少审计一次——审计从「自愿动作」变为「法定义务」（第4页展开） |
注：境外案例引自爱尔兰数据保护委员会（DPC）与英国信息专员办公室（ICO）公开通报，作为域外执法强度对照参考，不适用于中国法下责任认定。
05 · 法律责任体系精读
5.1 行政责任三档结构（第66—67条）
| 档位 | 适用情形 | 处罚内容 |
|---|---|---|
| 第一档 | 违法处理个人信息，或未履行个保法规定的保护义务 | 责令改正、警告、没收违法所得；对违法处理个人信息的应用程序责令暂停或终止提供服务；拒不改正的，并处100万元以下罚款；直接责任人处1万—10万元罚款 |
| 第二档（情节严重） | 有前款行为且情节严重 | 由省级以上履职部门责令改正、没收违法所得，并处5000万元以下或上一年度营业额5%以下罚款，可责令暂停业务/停业整顿/通报吊销许可或营业执照；责任人处10万—100万元罚款，可决定禁止一定期限担任董监高及个保负责人 |
| 其他责任形态 | 信用惩戒（第67条）：违法行为依照有关法律、行政法规规定记入信用档案并公示；治安与刑事衔接（第71条）：构成违反治安管理行为的依法给予治安管理处罚，构成犯罪的依法追究刑事责任；国家机关不履行保护义务的由上级机关责令改正并对责任人依法处分（第68条） | 个保法个人信息保护行政责任集中于第66条两档罚则，不设独立的低额罚款档；违反境内存储与出境规定（第40、41条）依第66条相应条款追责 |
5.2 民事、公益诉讼与刑事责任
- 民事责任（第69条）：过错推定——处理者不能证明自己没有过错的，承担损害赔偿等侵权责任。举证责任倒置极大改变诉讼格局：处理者若不能拿出同意记录、告知版本、PIA报告等过程证据，即面临败诉风险。损害赔偿范围可包括财产损失与精神损害（民法典第1183条）。
- 公益诉讼（第70条）：人民检察院、法律规定的消费者组织、国家网信部门确定的组织可起诉。多地检察机关已就App过度索权、人脸识别滥用等提起民事公益诉讼或诉前磋商，形成「个案整改+行业警示」效果。
- 刑事责任（第71条衔接刑法253条之一）：2017年「两高」司法解释量化入罪标准（行踪轨迹、通信内容、征信信息、财产信息50条以上；住宿信息、通信记录、健康生理信息、交易信息等其他可能影响人身财产安全信息500条以上；其他信息5000条以上，即属「情节严重」）；履职或服务中获得信息出售提供的减半计算。
- 信用惩戒（第67条）：违法行为依照有关法律、行政法规记入信用档案并公示，形成跨部门联合惩戒。
个保法行政处罚幅度速览
单位罚款与直接责任人罚款的上限对照（第66条）
数据来源：《个人信息保护法》第66条。营业额百分比罚则取「5000万元」与「上年营业额5%」孰高，适用于情节严重的违法行为。
06 · GDPR与个保法对照
欧盟《通用数据保护条例》（GDPR，2018年5月25日生效）是全球影响力最大的隐私立法。出海企业与在华外企需要同时理解两套规则。以下为制度结构层面的对照（仅作合规框架参考，具体适用以官方文本为准）：
| 维度 | GDPR | 个保法 |
|---|---|---|
| 法律属性 | 条例（Regulation），直接适用于欧盟成员国 | 法律，全国统一适用 |
| 适用范围 | 地域效力：设立于欧盟内的控制者/处理者，或向欧盟境内个人提供商品服务/监测其行为的域外主体（第3条） | 境内处理自然人个人信息的活动，以及以向境内自然人提供产品或服务、分析评估境内自然人行为等为目的在境外处理的行为（第3条第2款） |
| 合法性基础 | 六项（同意、合同必需、法定义务、重大利益、公共任务、正当利益） | 七项（含「合理范围内处理已合法公开的个人信息」这一GDPR无直接对应的基础；无「正当利益」基础） |
| 敏感信息 | 特殊类别数据（种族政治观点宗教信仰工会遗传生物识别健康性生活性取向），原则上禁止处理+例外 | 敏感个人信息列举式定义，处理须具特定目的与充分必要性+单独同意（「原则允许、条件规制」模式） |
| 自动化决策 | 第22条：对个人产生法律效果或类似重大影响的纯自动化决策，原则上禁止+例外；数据主体有权获得人工干预 | 第24条：要求透明公平、提供非个性化选项或便捷拒绝、禁止不合理差别待遇 |
| 数据主体权利 | 访问、更正、删除（被遗忘权）、限制处理、可携带、反对、不受自动化决策约束 | 知情、决定、限制/拒绝、查阅复制、可携带（符合网信部门规定条件）、更正补充、删除、解释说明 |
| 跨境机制 | 充分性认定、标准合同条款（SCCs）、约束性公司规则（BCRs）、认证、个案豁免 | 安全评估、个人信息保护认证、标准合同，及2024年规定的豁免情形 |
| 处罚上限 | 2000万欧元或全球年营业额4%（取高，第83条） | 5000万元人民币或上一年度营业额5%（取高，第66条） |
| 监管模式 | 一站式机制：跨成员国案件由牵头监管机构主导 | 网信统筹协调+部门分工+属地监管，公益诉讼补充 |
双重合规提示：两套规则控制项高度重叠（告知、同意、PIA/DPIA、泄露通知、权利响应），存在等保/ISO式「最大公约数」集合：一套数据映射与同意基础设施可同时支撑两者；差异点主要在合法性基础选择（GDPR正当利益 vs 个保法公开信息合理利用）、跨境机制与罚则结构。第8页成熟度模型按「一套底座、两套映射」设计。
07 · 本节参考来源（第2页）
条文释义以中国人大网公布文本为准；执法案例来源均为监管机构公开通报。
[1]
《中华人民共和国个人信息保护法》全文（2021年8月20日通过）：中国政府网。
[3]
《消费者权益保护法实施条例》（国务院令第778号，2024年7月1日施行）：中国政府网。
[4]
《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（法释〔2017〕10号）：最高人民法院。
[5]
国家网信办关于对滴滴全球股份有限公司依法作出网络安全审查相关行政处罚的通报（2022年7月21日）；关于对知网（CNKI）依法作出行政处罚的通报（2023年9月）：中国网信网。
[7]
欧盟GDPR第83条处罚条款：欧盟EUR-Lex官方法规库。