你的浏览器版本过低，可能导致网站不能正常访问！为了你能正常使用网站功能，请使用这些浏览器。
《中华人民共和国个人信息保护法》（“《个人信息保护法》”）由全国人大常委会于2021年8月20日审议通过，自2021年11月1日起施行。
《个人信息保护法》的审议通过，意味着我国数字经济领域的法律规范完成又一块重要拼图。由《中华人民共和国网络安全法》（“《网络安全法》”）、《中华人民共和国数据安全法》（“《数据安全法》”）和《个人信息保护法》构成的我国数字经济时代三大法律支柱体系基本确立，共同搭建起数字经济“生态保护系统”[1]。《个人信息保护法》犹如个人信息保护的法律“安全锁”，将确保生态保护系统中个人信息要素健康、安全，是个人信息保护的重要里程碑。本文拟结合个人信息保护法的《二次审议稿》，介绍《个人信息保护法》以及相对《二次审议稿》的最新变化（为方便阅读，本文中相较于《二次审议稿》的《个人信息保护法》的最新修改内容以下划线斜体字表示）。
一、个人信息与敏感个人信息
《个人信息保护法》在第4条和第28条分别定义了个人信息和敏感个人信息。
相比《二次审议稿》，《个人信息保护法》对个人信息定义未做修改，但对敏感个人信息改动较大：例如，将之前“可能导致个人受到歧视”改为了“容易导致自然人的人格尊严受到侵害”，一定程度上降低了认定门槛，且语言表述更加严谨；删除了种族、民族列举项，代之以“个人生物特征”、“特定身份”（但“特定身份”未明确具体含义）；将未成年人的个人信息纳入到敏感个人信息保护。
二、个人信息处理及其原则
《个人信息保护法》增加了对“个人信息的处理”的列举，并且对“个人信息处理者”的定义进行了调整：个人信息的处理包括个人信息的收集、存储、使用、加工、传输、提供、公开、删除等；个人信息处理者，是指在个人信息处理活动中自主决定处理目的、处理方式的组织、个人。
《个人信息保护法》进一步强化了处理个人信息应当遵循的各项原则，从以下总结中的斜体字可以看到《个人信息保护法》着重强调的处理原则：
三、适用范围（包括域外效力）
《个人信息保护法》的适用范围（包括其域外效力）如下：
四、个人同意+特定例外事由
《个人信息保护法》坚持个人同意+特定例外事由的个人信息处理规则。《个人信息保护法》要求个人信息处理者在符合以下七种情形之一的情况下才能处理个人信息（其中第（2）项至第（7）项即为特定例外事由；相较《二次审议稿》，第（2）项增加了人力资源管理需要，第（5）项调整为第（6）项）：
（1）取得个人的同意；
（2）为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需；
（3）为履行法定职责或者法定义务所必需；
（4）为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需；
（5）为公共利益实施新闻报道、舆论监督等行为在合理的范围内处理个人信息；
（6）依照本法规定在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息；
（7）法律、行政法规规定的其他情形。
为了更好说明个人同意+特定例外事由的处理规则，《个人信息保护法》同时明确：依照本法其他有关规定，处理个人信息应当取得个人同意，但有前款第二项至第七项规定情形的，不需取得个人同意。即符合上述所列第（2）项至第（7）项情形之一的个人信息处理无需取得个人同意。
五、告知+个人同意
《个人信息保护法》设立了个人信息处理的告知+个人同意的机制：
告知：
个人信息处理者在处理个人信息前，应当以显著方式、清晰易懂的语言真实、准确、完整地向个人告知下列事项（法律、行政法规要求保密或规定无需告知或紧急情况下无法及时告知的除外）：
（1）个人信息处理者的名称或者姓名和联系方式；
（2）个人信息的处理目的、处理方式，处理的个人信息种类、保存期限；
（3）个人行使本法规定权利的方式和程序；以及
（4）法律、行政法规规定应当告知的其他事项。
如果个人信息处理者是以制定个人信息处理规则的方式来告知上述事项，则该等规则应当公开，并且便于查询和保存。
个人同意：
六、个人信息保存期限
七、共同处理个人信息
两个以上的个人信息处理者共同处理个人信息，应约定各自权利与义务；但发生侵害个人信息权益造成损害时，应当依法承担连带责任。“依法”两字在几次审议稿中删除又加回，反映了大家对承担连带责任的热烈讨论。从现在的规定来看，个人信息处理者共同处理个人信息是否承担连带责任，似乎还有“依法”进行抗辩的空间。
八、委托处理个人信息
九、个人信息转移
如个人信息处理者因合并、分立、解散、被宣告破产等原因需要转移个人信息，应告知个人接收方信息，包括名称或姓名和联系方式，并由接收方履行个人信息处理者义务；原有处理目的、处理方式发生变更，需重新向个人告知并取得其同意。
十、向其他个人信息处理者提供个人信息
十一、利用个人信息进行自动化决策
十二、个人信息保密
十三、处理敏感个人信息
（1）只有在具有特定目的和充分的必要性，并采取严格保护措施的情况下，个人信息处理者方可处理敏感个人信息；
（2）个人信息处理者向个人告知处理敏感个人信息的必要性以及对个人的影响（但依据《个人信息保护法》无需告知的除外）；
（3）个人信息处理者应取得个人的单独同意（或依据法律法规要求取得书面同意）；
（4）进行事前个人信息保护影响评估；
（5）对于处理不满十四周岁未成年人的个人信息，个人信息处理者需：
（i）取得其父母或其他监护人的同意；
（ii）制定专门的个人信息处理规则。
《个人信息保护法》特别要求处理敏感个人信息需满足前提条件：（1）具有特定目的；（2）具有充分必要性；（3）采取严格保护措施。这三个条件均没有进一步的解释或说明，而像“严格保护措施”这类的条件，则更难理解何谓“严格保护措施”，如何才能达到“严格保护措施”。
十四、个人信息跨境提供
个人信息跨境提供的条件：
（1）更严格的“告知+同意”
在向中国境外提供个人信息之前，个人信息处理者需遵循更严格的“告知+同意”：
a)向个人告知境外接收方的名称或者姓名、联系方式、处理目的、处理方式、个人信息的种类以及个人向境外接收方行使权力的方式和程序等；
b)取得个人的单独同意。
（2）事前个人信息保护影响评估：个人信息处理者应根据《个人信息保护法》第55条在个人信息跨境传输之前进行个人信息保护影响评估。
（3）个人信息处理者因业务等需要，可以在具备下列条件之一的情况下向中国境外提供个人信息：
a)通过国家网信部门组织的安全评估；
b)经专业机构进行个人信息保护认证；
c)按照国家网信部门制定的标准合同与境外接收方订立合同，约定双方的权利和义务；
d)法律、行政法规或者国家网信部门规定的其他条件。
个人信息处理者的保障义务
同时，个人信息处理者有义务采取必要措施，保障境外接收方处理个人信息的活动达到《个人信息保护法》规定的个人信息保护标准。
禁止擅自向境外机构提供个人信息
与《数据安全法》的规定类似，《个人信息保护法》明确，非经中国主管机关批准，个人信息处理者不得向外国司法或者执法机构提供存储于中国境内的个人信息。
十五、本地存储要求
关键信息基础设施运营者[2]和处理个人信息达到规定数量的个人信息处理者，应将在中国境内收集和产生的个人信息存储在境内；在通过安全评估后，才可以向境外提供。
十六、个人在个人信息处理中的权利
根据《个人信息保护法》，个人对其个人信息的处理享有以下主要权利：
（1）知情权
（2）决定权
（3）有权限制或拒绝他人对其个人信息进行处理
（4）有权查阅、复制个人信息
（5）有权要求将其个人信息转移至其指定的个人信息处理者（可携带权）
（6）有权更正、补充个人信息
（7）有权删除个人信息
（8）有权要求个人信息处理者解释说明处理规则
（9）如个人信息处理者拒绝个人行使权利的请求，个人可向法院起诉个人信息处理者
《个人信息保护法》第47条详细规定了个人信息删除权，要求个人信息处理者应当主动而非“依据个人的请求”删除个人信息，在个人信息处理者未删除个人信息的情况下，个人有权要求其删除：
有下列情形之一的，个人信息处理者应当主动删除个人信息；个人信息处理者未删除的，个人有权请求删除：
（一）处理目的已实现、无法实现或者为实现处理目的不再必要；
（二）个人信息处理者停止提供产品或者服务，或者保存期限已届满；
（三）个人撤回同意；
（四）个人信息处理者违反法律、行政法规或者违反约定处理个人信息；
（五）法律、行政法规规定的其他情形。
法律、行政法规规定的保存期限未届满，或者删除个人信息从技术上难以实现的，个人信息处理者应当停止除存储和采取必要的安全保护措施之外的处理。
十七、死者个人信息的特别规定
《民法典》第1045条规定，近亲属包括配偶、父母、子女、兄弟姐妹、祖父母、外祖父母、孙子女、外孙子女。
十八、个人信息处理者的义务
个人信息处理者需履行以下义务：
（1）采取措施：
（2）指定个人信息保护负责人（如处理个人信息达到规定数量）
（4）定期进行合规审计
（5）在下列个人信息处理活动前进行个人信息保护影响评估（个人信息保护影响评估报告和处理情况记录应至少保存三年）：
(i)处理敏感个人信息；
(ii)利用个人信息进行自动化决策；
(iii)委托处理个人信息、向其他个人信息处理者提供个人信息、公开个人信息；
(iv)向境外提供个人信息；
(v)其他对个人权益有重大影响的个人信息处理活动。
(i)发生或可能发生个人信息泄露、篡改、丢失的信息种类、原因和可能造成的危害；
(ii)采取的补救措施和个人可以采取的减轻危害的措施；
(iii)个人信息处理者的联系方式。
（7）提供重要互联网平台服务、用户数量巨大、业务类型复杂的个人信息处理者的特别义务
十九、互联网平台的特别义务
互联网平台达到一定条件的情况下须接受独立机构监督、制定平台规则、开展平台治理、发布社会责任报告，提升整体平台个人信息保护水平。具体包括以下几个方面：
主体：特指提供重要互联网平台服务、用户数量巨大、业务类型复杂的个人信息处理者。《个人信息保护法》并未明确何为“重要互联网平台服务”、多少用户达到“用户数量巨大”，什么是“业务类型复杂”，相信这些限制性条件将由行政法规来予以具体确定。这也说明，负有个人信息保护特别义务的互联网平台并非全部互联网平台，其适用的主体将是那些掌握海量个人信息、社会影响巨大的重要互联网平台。
个人信息保护合规制度：按国家规定建立健全个人信息保护合规制度体系。
独立监督机构：成立主要由外部成员组成的独立机构，对个人信息保护情况进行监督。如果说个人信息保护负责人更多是个人信息处理者的内部机构设置，而互联网平台的独立监督机构更似《一般数据保护条例》（“GDPR”）下的外部聘请的数据保护官（“DPO”）[3]。在GDPR下，DPO的设置分为内外两类，可以由企业内部的人员担任，也可以从外部聘请。独立监督机构的“独立性”是关键。似乎可以参考上市公司独立董事机制，包括外部人员的选择和独立性保证机制，从而确保该独立机构不被互联网平台左右，有效履行监督职责。
制定平台规则：遵循公开、公平、公正的原则，制定平台规则，明确平台内产品或服务提供者处理个人信息的规范和保护个人信息的义务。
互联网平台治理：对严重违反法律、行政法规处理个人信息的平台内的产品或者服务提供者停止服务。
定期发布社会责任报告：定期发布个人信息保护社会责任报告，接受社会监督。《个人信息保护法》第55条要求个人信息处理者进行事前个人信息保护影响评估，并规定了评估的基本内容。而互联网平台的社会责任报告更像是事后总结。互联网平台通过发布社会责任报告，向社会介绍其在个人信息保护方面的宗旨、原则、保护机构的设置、采取的保护措施、个人信息处理等情况，接受社会监督。
二十、个人信息处理者的过错推定
《个人信息保护法》第69条突出了个人信息处理者在侵权责任上的过错推定原则：处理个人信息侵害个人信息权益造成损害，个人信息处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任。
[2]有关关键信息基础设施的定义和认定，详见《关键信息基础设施安全保护条例》。