个人信息保护法（图解版）.pdf

图解个人信息保护法2021年11月1日起正式施行前言2021年8月20日，个人信息保护法正式发布，将于2021年11月1日起施行。个人信息保护关乎国计民生，明确被纳入民法典人格权保护范围，但是个人信息泄漏乱象频发，因此，结合国际通行实践，对个人信息保护专门立法，规范个人信息处理活动，保障个人信息的有序流通，对我国发展数字经济、数字社会、数字政府具有重要意义。个人信息保护迎来里程碑2019年6月13日 个人信息出境安全评估办法（征）2019年11月28日A AP PP P违违法法违违规规收收集集使使用用个个人人信信息息行行为为认认定定方方法法2020年6月1日起实施网络安全审查办法2 20 02 20 0年年1 10 0月月1 1日日实实施施GB/T 35273-2020信息安全技术 个人信息安全规范2020年2月1日起施行国家政务信息化项目建设管理办法2020年9月18日互联网个人信息安全保护指南2019年5月28日数据安全管理办法（征）2 20 01 19 9年年8 8月月信息安全技术 移动互联网应用程序（APP）收集个人信息基本规范（征）2019年10月1日起施行儿童个人信息网络保护规定2 20 02 20 0年年8 8月月2 28 8日日信息安全技术 网络数据处理安全规范（征求意见稿）2021年5月1日起施行常见类型移动互联网应用程序（APP）必要个人信息范围2020年1月信息安全技术 个人信息告知同意指南（征求意见稿）2013年9月1日起施行电信和互联网用户个人信息保护规定2 20 01 17 7年年8 8月月信息安全技术 数据出境安全评估指南（征求意见稿）2012年12月28日全国人民代表大会常务委员会关于加强网络信息保护的决定2013年2月1日实施GB/Z 28828-2012信息安全技术 公共及商用服务信息系统 个人信息保护指南政策法规技术标准个人信息保护法2021年8月20日颁布个人信息保护法总结构1.目的2.宗旨3.适用范围4.关键定义5.合法、正当6.目的、必要7.公开、透明8.准确、完整9.责任到人10.刑事追责11.环境构建12.国际合作第二章 个人信息处理规则个人信息保护法第一节 一般规定第一章 总则第六章履行个人信息保护职责的部门第二节 敏感个人信息的处理规则第三节国家机关处理个人信息的特别规定33.适用范围34.范围限度35.告知同意36.境内存储37.公共事务第三章 个人信息跨境提供的规则38.前提条件39.告知要求40.关基要求41.主管批准42.限制清单43.对等反制第四章 个人在个人信息处理活动中的权利44.知情、决定45.查阅、复制46.更正、补充47.主动删除48.解释说明49.代行使权50.处理机制第五章 个人信息处理者的义务60.职责部门61.保护职责62.工作说明63.履职措施64.约谈审计65.投诉举报第七章 法律责任第八章 附则67.信用档案66.行政责任68.国家机关处罚69.民事责任70.依法诉讼71.刑事责任72.特殊情况73.专业术语74.施行时间13.处理前提14.取得同意15.撤回同意16.不得拒绝服务18.例外情形19.最短时间20.共同处理21.委托处理22.信息转移23.第三方共享24.自动化决策26.公共采集27.重新同意17.告知要求25.不得公开51.基本义务52.责任到人53.境外机构义务54.合规审计55.影响评估56.评估内容57补救通知58.大型互联网义务59.受托人义务28.关键定义29.单独同意32.行政许可31.未成年人保护30.必要性告知扩展域外管辖，侧重数据处理发生地个人信息保护法GDPR以处理行为“发生地”切入1、强调“属地原则”：在中华人民共和国境内处理自然人个人 信息的活动，适用本法。（无论处理者是否在境内设立，或者处理的是否为境内自然人信息，只要处理行为发生在境内，就受个保法制约。）2、对应GDPR“保护主体”标准：只要符合“向境内自然人提供产品或者服务为目的”、“为分析、评估境内自然人的行为”及其他规定情形时，也应适用个保法的规定。以控制者/处理者“设立地”切入1、以“营业地/设立地”为标准：在欧盟境内设立的数据控制者或处理者对个人数据的处理行为（不论其实际数据处理行为在何处）2、以“保护主体”为标准：即使有关个人数据处理活动的控制者或处理者不在欧盟设立，但若其：(a)为欧盟境内的数据主体提供商品或服务；或(b)对发生在欧盟境内的数据主体的活动进行监控，则该类控制者或处理者也同样适用GDPR。属地原则境外境外总则处理跨境权利义务监管罚则中国欧盟.明确七大关键定义个人信息敏感个人信息以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息,不包括匿名化处理后的信息。一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。宗教生物识别医疗行踪已识别可识别总则处理跨境权利义务监管罚则明确七大关键定义包括个人信息的收集、存储、使用、加工、传输、提供、公开、删除等。个人信息的处理在个人信息处理活动中自主决定处理目的、处理方式的组织、个人。个人信息处理者通过计算机程序自动分析、评估个人的行为习惯、兴趣爱好或者经济、健康、信用状况等，并进行决策的活动。自动化决策个人信息经过处理无法识别特定自然人且不能复原的过程。匿名化个人信息经过处理，使其在不借助额 外信息的情况下无法识别特定自然人的过程。去标识化总则处理跨境权利义务监管罚则个人信息处理规则前提条件告知要求个人信息处理者的名称或者姓名和联系方式;个人信息的处理目的、处理方式、种类、保存期限;个人行使权利的方式和程序;其他法定告知事项。*针对第一种情形，最为典型的是根据中华人民共和国反恐怖主义法第五十一条的规定，即公安机关在调查恐怖活动的案件中，可以获得事先告知豁免。1234法法定定保保密密或或豁豁免免告告知知第第一一款款 紧紧急急情情况况事事后后告告知知两种例外情形：*注：第2-7项规定情形的，不需取得个人同意3.履行法定职责或义务必需4.突发紧急应对必需5.公共利益的合理范围7.其他情形2.订立、履行合同或实施人力资源管理所必需6.自行公开或其他已经合法公开的明示同意充分知情、自愿明确授权同意法定单独或书面同意重新取得同意变更需重新同意撤销权个人有权撤回其同意具体要求1.取得个人同意总则处理跨境权利义务监管罚则个人信息保存期限以最短必要为原则没有固定期限：根据必要性的要求，规定在满足处理目的后，最短时间内尽快予以删除。需要企业制定相应内部合规制度，就个人信息的存储及删除时间进行明确规定。兜底条款：对个人信息保存期限另有规定的，从其规定。常见的法律、法规另有规定的情形包括：NO 反洗钱法第十九条第三款：客户身份资料在业务关系结束后、客户交易信息在交易结束后，应当至少保存五年。第三十一条：商品和服务信息、交易信息保存时间自交易完成之日起不少于三年 电子商务法第147条：证券公司应当妥善保存客户开户资料、委托记 录、交易记录和与内部管理、业务经营有关的各项资料上述资料的保存期限不得少于二十年 证券法 证券投资基金法第102条：基金份额登记机构应当妥善保存登记数据其保存期限自基金账户销户之日起不得少于二十年总则处理跨境权利义务监管罚则六大场景下个人信息处理规定共同决定处理目的和处理方式，约定权利和义务个人可向其中任一信息处理者行使本法权利侵害个人信息权益造成损害的，应当依法承担连带责任共同处理者共同处理个人信息转移转移方告知接收方的名称或者姓名和联系方式因合并、分立、解散、被宣告破产等转移个人信息委托人约定委托处理的目的、期限、处理方式、个人信息的种类、保护措施以及双方的权利和义务等监督受托人的个人信息处理活动委托处理接收方继续履行个人信息处理者的义务变更处理目的、处理方式的，应重新取得个人同意受托人按照约定处理个人信息委托合同不生效、无效、被撤销或终止，受托方应当将个人信息返还或予以删除未经同意，受托人不得转委托委托处理总则处理跨境权利义务监管罚则提供方其他个人信息处理者告知接收方的名称或者姓名、联系方式、处理目的、处理方式和个人信息的种类取得个人单独同意在上述处理目的、处理方式和个人信息的种类等范围内处理个人信息变更处理目的、处理方式应重新取得个人同意提供个人信息其他个人信息处理者共享保证决策的透明度和结果公平、公正，不得对个人在交易价格等交易条件上实行不合理的差别待遇通过自动化决策方式向个人进行信息推送、商业营销，提供不针对个人特征的选项，或提供便捷的拒绝方式对个人权益具有重大影响的决定，个人有要求说明权和拒绝权自动化决策自动化决策在公共场所安装图像采集、个人身份识别设备，应当为维护公共安全所必需遵守国家有关规定，并设置显著的提示标识收集的个人图像、身份识别信息只能用于维护公共安全的目的，不得用于其他目的；取得个人单独同意的除外公共采集公共采集“敏感个人信息”处理规则前提条件特定目的和充分必要性并采取严格保护措施在第六条处理个人信息要求“明确且合理目的”的基础上，提出更高的要求单独同意个人信息处理需取得个人单独同意，且同时满足“明示同意”的要求授权同意依法处理需取得书面同 意，且 必 须 符 合“书面同意”的形式要件遵 从 个 人 信 息处 理 的 告 知 要求依法应当取得相关行政许可或者作出其他限制的，从其规定向个人告知处理敏感个人信息的必要性以及对个人权益的影响告知要求总则处理跨境权利义务监管罚则处理不满十四周岁未成年人个人信息的，应当取得未成年人的父母或其他监护人的同意；应当制定专门的个人信息处理规则国家机关处理个人信息规定处理要求依照法定权限、程序进行境内存储个人信息应当在境内存储遵循原则履行告知义务法定保密、不需要告知，或妨碍履行法定职责的除外境外提供应当进行安全评估公共事务法定具有管理公共事务职能组织适用总则处理跨境权利义务监管罚则个人信息跨境提供的规定告知要求：向个人告知境外接收方的名称或者姓名、联系方式、处理目的、处理方式、个人信息的种类以及个人向境外接收方行使本法规定权利的方式和程序等事项，并取得个人的单独同意。具体要求：境内收集产生的个人信息存储在境内向境外提供的应通过国家网信部门组织的安全评估规定可以不进行安全评估的从其规定关键信息基础设施运营者处理个人信息达到国家网信部门规定数量的个人信息处理者国家网信部门负责统筹监管向境外提供个人信息应当具备下列条件之一：通过安全评估经专业机构进行保护认证依据标准合同，与境外接收方订立合同法律、行政法规或国家网信部门规定其他条件总则处理跨境权利义务监管罚则国际层面合作与竞争境外提供原则按照缔结或者参加的国际条约、协定的规定，或者按照平等互惠原则执行非经批准，不得提供储于境内的个人信息跨境制约列入限制或者禁止个人信息提供清单并公告采取限制或者禁止向境外提供个人信息等措施对等反制在个人信息保护方面对我国采取歧视性措施的国家或地区，我国可根据实际情况对等采取措施总则处理跨境权利义务监管罚则个人信息主体的权利决定权知情权限制处理权拒绝处理权查阅复制权更正补充权删除权要求解释权代行使权处理目的已实现、无法实现或不再必要产品或者服务停止提供，或保存期限已届满个人撤回同意违法或违反约定处理个人信息其他情形*注：法律、法定保存期限未届满,或删除个人信息 从技术上难以实现的，应当停止除存储和采取必要的安全保护措施之外的处理 “被遗忘权”适用情形总则处理跨境权利义务监管罚则转移权个人信息处理者的义务安全措施说明：1、加密：对数据进行密码变换以产生密文的过程（GB/T 39786-2021）2、去标识化：去标识化建立在个体基础之上，保留个体颗粒度，采用假名、加密、哈希函数等替代对个人信息的标识（GB/T 352732020）操作权权限限确确定定定期教育培训制度规程制定信息分类管理安全技术措施采用应急预案制定法定其他措施义务概述1.义务执行依据：个人信息处理目的、处理方式、信息种类及个人权益的影响、潜在风险等；2.义务执行目的：符合法律、行政法规的规定，并防止未授权访问及个人信息泄露、篡改、丢失。义务说明内部人员管理总则处理跨境权利义务监管罚则定期合规审计事后事项通知信息处理者义务执行需指定负责人情形处理个人信息达到国家网信部门规定数量的个 人信息处理者适用情形境外 个人信息处理者适用情形敏感信息处理内容要求敏感信息处理自动化决策委托、提供、公开境外提供其他有重大影响的合法、正当、必要个人权益影响及安全风险合法性、有效性、匹配性报告和记录至少保存三年通知内容1、豁免条件：采取措施能有效避免危害的发生，可以不通知个人;2、限制条件：相关部门认为可能造成危害的，有权要求通知个人。情情形形条条件件：1 1、个个人人信信息息遭遭受受泄泄露露、篡篡改改、丢丢失失；2 2、相相关关部部门门提提出出要要求求。机构设立/代表指定事前个人信息保护影响评估安全负责人指定信息种类泄露、篡改、丢失原因危害分析补救措施危害减轻联系方式通知个人大型互联网平台义务义务说明违规停止服务独立机构建立责任报告发布接受社会监督义义务务主主体体特特征征：1 1、提提供供重重要要互互联联网网平平台台服服务务2 2、用用户户数数量量巨巨大大 3 3、业业务务类类型型复复杂杂1、要求：由外部成员组成2、目的：监督个人信息处理活动 1、前提：严重违反法律、行政法规2、范围：平台内的产品或者服务提供者社会责任义务总则处理跨境权利义务监管罚则建立健全制度职责部门责任架构部门说明统筹协调、监督管理责任架构分析说明：履行个人信息保护职责的部门由国家网信部门进行统筹和协调，具体落实的工作由国务院各部门在各自职责范围内进行纵向的“条块管理”，县级以上地方人民政府也按照该模式进行管理。职责范围投诉举报处理法定其他职责应用程序等测评宣传教育开展1、任何组织、个人有权进行投诉、举报。2、相关部门应及时处理，并通知处理结果。3、相关部门应公布接受投诉、举报联系方式。1、前提：存在较大风险或者发生个人信息安全事件2、措施：对法定代表人或者主要负责人进行约谈；或要求委托专业机构进行合规审计。违法调查处理国家网信部门国务院有关部门县级以上地方政府有关部门信息保护、监督管理信息保护、监督管理总则处理跨境权利义务监管罚则工作说明及履职措施部门说明服务体系建设认证技术支持规则标准制定新技术新应用个人信息保护主导部门：国家网信部门履职措施实施现场检查查阅复制资料调查相关情况设设备备物物品品检检查查被调查当事人责任：履行个人信息保护职责的部门依法履行职责,当事人应当予以协助、配合,不得拒绝、阻挠。对有证据证明是用于违法个人信息处理活动的设备、物品，向本部门主要负责人书面报告并经批准，可以查封或者扣押。总则处理跨境权利义务监管罚则投诉举报机制罚则责任类型责任行为处罚追责行政责任违反本法规定处理个人信息，或者处理个人信息未履行本法规定的个人信息保护义务的责令改正，给予警告，没收违法所得对违法处理个人信息的应用程序责令暂停或者终止提供服务拒不改正并处一百万元以下罚款对责任 人员处一万元以上十万元以下罚款情节严重的责令改正，没收违法所得并处五千万元以下或者上一年度营业额百分之五以下罚款责令暂停相关业务或者停业整顿、通报有关主管部门吊销相关业务许可或者吊销营业执照对责任人员处十万元以上一 百万元以下罚款，并可以决定禁止其在一定期限内担任相关企业的董事、监事、高级管理人员和个人信息保护负责人有本法规定的违法行为记入信用档案，并予以公示国家机关不履行本法规定的个人信息保护义务责令改正 对责任人员依法给予处分履行个人信息保护职责的部门的工作人员玩忽职守、滥用职权、徇私舞弊，尚不构成犯罪的依法给予处分民事责任处理个人信息侵害个人信息权益造成损害个人信息处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任损害赔偿责任按照个人因此受到的损失或者个人信息处理者因此获得的利益确定;难以确定的，根据实际情况确定赔偿数刑事责任违反本法规定处理个人信息，侵害众多个人的权益的人民检察院、履行个人信息保护职责的部门和国家网信部门确法律规定的消费者组织和由国家网信部门确定的组织可以依法向人民法院提起诉讼构成违反治安管理行为依法给予治安管理处罚构成犯罪的依法追究刑事责任总则处理跨境权利义务监管罚则