个人信息保护法教程
个人信息处理规则、主体权利、处理者义务、监管与责任。
关联阅读
- 数字法学原理：从数据法的整体框架进入个人信息保护的具体规则。
- 个人信息保护：原理与实践：对照规则体系与理论反思，阅读告知同意、风险与治理。
- 数字时代的权利理论：围绕个人信息权益、自动化决策与救济展开比较阅读。
- 婚姻家庭、继承与人格权：将个人信息保护与人格权、隐私保护专题对照阅读。
- 侵权责任法：衔接个人信息保护中的责任讨论与侵权责任的一般框架。
- 行政法：将个人信息保护监管与行政主体、行政行为框架结合阅读。
第一章 个人信息保护法基本问题
第一节 个人信息与个人信息处理
一、数据、信息与个人信息
（一）数据与信息概述
1. 数据的概念
1) 核心定义
2) 物理与法律特征
- 数据来源于对客观世界的原始观察，以数字、文字、声音或图像等物理符号为表现形式，是* 抽象的量的概念 *。
- 存在于计算机及网络上流通的二进制形式，* 无法脱离载体而存在 *。
- 既不是物，也非智力成果或权利；与有体物相比，* 不具有独占性 （可同时被多人次使用）且 不会因使用而减少 *（可无限使用并创造价值）。
2. 信息与数据的关系
1) 内容与形式的统一：* 信息是数据的内容，数据是信息的形式 。在数据时代，无法将数据与信息分离而抽象地讨论单方的权益。 2) 权益基础：只有个人数据 包含个人信息时 *才会具有财产或者人格利益。自然人对个人数据的民事权益是指对于以数据形式呈现的个人信息的民事权益，或包含个人信息的数据的权益。
（二）个人信息概述
1. 个人信息的概念：识别说界定模式
1) 法律界定：以电子或其他方式记录的能够* 单独或者与其他信息结合识别特定自然人 *的各种信息（含姓名、身份证号、生物识别、行踪等列举与未列举信息）。 2) 个人信息的三个核心要素：
-
- 主体要素 *：主体为自然人（包括近亲属对死者个人信息的查阅、复制、更正、删除等权利）。
-
- 载体要素 *：需要一定的载体，主要以电子或者其他方式记录。
-
- 可识别性要素 *：例如，用户画像或特征标签能够单独或结合其他信息识别特定自然人身份或反映其活动情况的，属于个人信息。
2. 个人信息的概念：关联说界定模式
1) 法律界定：《个人信息保护法》第 4 条规定，个人信息是与已识别或者可识别的自然人有关的各种信息（不含匿名化处理后的信息）。 2) 适用效果：这一规定* 实质扩张了 *《民法典》对个人信息界定的范围。 3) 场景理论的司法引入（典型案例）：在“微信读书案”中，读书信息包含网络身份标识（从信息到个人），且能反映阅读习惯偏好（从个人到信息），因而被认定为个人信息。
3. 一般个人信息与敏感个人信息
（三）个人信息的特征
1. 个人信息具有算法识别性
1) 传统信息的自然识别：线下社会信息通过物理形式流传，仅具自然识别性，日常行为痕迹难以被自动识别。 2) 数字信息的算法识别：网络用户的浏览痕迹、偏好等经信息技术平台处理即具有可计算性（算法识别性）。
2. 个人信息无法为个人所单独控制
1) 事实控制力差异：信息获取是社会交往前提，数据化信息往往由处理者收集存储，处理者享有更强的控制力。 2) 信息公共品的本质属性：具有* 非竞争性 和 非排他性 *，使用分享边际成本极低，阻止获取成本高昂，本质上具有公共性，不应被个人独占。
3. 个人信息的有限保护
（四）个人信息去标识化与匿名化
二、个人信息处理
（一）个人信息处理的概念
个人信息处理是指任何一项或多项针对单一或多个个人信息进行的操作。
（二）个人信息处理行为的类型
1. 收集
个人信息处理的起点，分为* 直接收集 （索取、主动提供或系统自动记录）与 间接收集 *（从公开渠道或特定处理者处获取）。
2. 存储
后续利用的前提，可长期或短期、纸质或电子存储，需分类管理。
3. 使用
处理的主要目的。商业主体多基于商业目的（如数据画像）；国家机关则是为履行行政职责或提供公共服务。
4. 加工
对信息进行筛选、分类、计算等以释放潜在价值（含去标识化与匿名化处理）。
5. 传输
单一信息处理者内部的自我传送（如本地与云端交互、内部部门流转）。
6. 提供
向自身内部及主体以外的其他组织或个人提供（* 须告知并取得单独同意 *，跨境提供有专章规定）。
7. 公开
向社会公众或不特定主体披露。
8. 删除
使信息不再可用，不可能被读取或使用。
三、个人信息权益
（一）个人信息权益概述
1. 实体性权利和利益
具有* 综合性特征 *，包括宪法上的人权/人格尊严/通信自由/通信秘密/人身财产安全、公法权益，以及民法上的隐私权/名誉权/姓名权等。
2. 程序性权利
个人在处理活动中用以保护实体权益的权利（同意权、知情权、决定权、查阅/复制/转移/更正/补充/删除权、规则说明权、诉权）。
（二）个人信息权益的内涵
1. 涵盖的个人权利
1) 支配性权利**：同意权、知情权、决定权及对应的查阅/复制/转移权。 2) 救济性权利**：更正权、补充权、删除权、规则说明权及诉权。
2. 涵盖的个人利益（三大核心利益）
1) 个人的人格尊严
- 决定权 ：防范算法限制个人认知与妨碍自主选择。
- 信息化形象一致性 ：防范人格被他人操控与扭曲。
- 反歧视 ：禁止利用算法追求商业歧视或表达隐性社会歧视。
- 隐私保护 ：保护私密信息免受干预。 2) 个人的人身财产安全：个人信息在保护人身财产安全上具有 * “闸口效应” *，控制好信息闸口可显著降低被网络攻击/诈骗的风险。 3) 个人的通信自由和通信秘密：防范处理者以拒绝同意为由拒不提供通信服务（侵犯自由），或擅自收集通讯录/短信内容（侵犯秘密）。
（三）个人信息权益的基本特征
1. 对人格权益的综合性保护
其附着的人格权益源于宪法、民法及公法，受民法、刑法、行政法多维度规范。
2. 对世性权益
1) 法定与强制性：禁止任何组织或个人侵害，为一种对世权和支配性民事权益。 2) 弱支配与非排他：依法律规定部分情形可被强制收集；不具有独占性和排他属性（允许多人同时处理相同信息）。
第二节 个人信息保护法治
一、我国个人信息保护法治的建立与完善过程
1. 早期起步阶段（2000-2012）
从《关于维护互联网安全的决定》到《刑法修正案（七）》（增设非法获取等罪名），《侵权责任法》确立网络侵权责任。2012 年《关于加强网络信息保护的决定》初步规定“八项原则”。
2. 规范发展阶段（2013-2020）
《消法》修正、《网安法》（四梁八柱）、《电商法》、《民法典》（将个人信息作为独立人格权益）、《刑法修正案（九）》（确立侵犯公民个人信息罪）。
3. 专门立法阶段（2021 年）
《数据安全法》颁布，同年 8 月 20 日《个人信息保护法》出台，标志着体系化保护体系的建立。
二、个人信息保护现行法律制度概要
1. 《个人信息保护法》的体系
该法共八章，涵盖：总则（目的、原则）、处理规则（“告知—同意”核心规则、敏感信息特别规定、国家机关特别规定）、跨境提供规则、个人权利、处理者义务（含“守门人”义务）、监管部门职责、法律责任（民事、行政、刑事及内部责任）、附则。
6. 与行政法规
《个保法》对法定职责采取“法律保留与授权立法”机制。如国家机关处理信息可不经同意，但公开隐私信息仍受《政府信息公开条例》限制。
7. 与部门规章及规范性文件
网信办、工信部等制定的规章（如《网信部门行政执法程序规定》《互联网信息服务算法推荐管理规定》）为《个保法》提供细化落地依托。
8. 与地方性法规
地方立法（如《深圳经济特区数据条例》）发挥先行先试与贯彻落实的双重作用。
9. 与国家标准
国标（如《信息安全技术 个人信息安全规范》）早于立法探索并为法律提供制度参考（如“告知-同意”规则细化）。
10. 与司法解释
“人脸识别司法解释”及刑法涉侵犯公民个人信息的司法解释在不违背《个保法》前提下继续适用。
三、作为领域法的个人信息保护法及其法学
1. 领域法属性
1) 跨学科与复合性：以问题为导向，横跨民、刑、行等法律部门，融经济、政治、社会多学科，具有鲜明的跨学科特色。 2) 多元责任协同：《个保法》涵盖民事损害赔偿、行政监管处罚与刑事责任，不能被单一传统部门法涵盖。
2. 核心基础理论（两头强化，三方平衡）
四、个人信息保护法的立法目的
1. 保护个人信息权益
（基本目的）；
2. 规范个人信息处理活动
（实现双重目的的手段与方法）；
3. 促进个人信息的合理利用
（在权益保护基础上的经济价值实现）。
第三节 个人信息处理的原则
一、合法、正当、必要和诚信原则
1. 合法
1) 具有法定正当基础：处理须具备《个保法》第 13 条规定的合法性基础。 2) 履行法定义务：遵循法律设定的强制性义务（如大型平台“守门人”的特别义务）。
2. 正当
1) 目的正当：有利于增进个人或公共利益，不得损害他人权益（如诈骗目的属于不正当）。 2) 手段正当：处理方式需符合社会期待与公序良俗（如利用数据画像实施价格歧视属于手段不正当）。
3. 必要
不得超过实现目的的最低限度与最小范围（收集范围仅以实现服务功能和业务目的为必要）。
4. 诚信
处理者对个人抱有基本善意，尊重合理信赖，不得通过误导、欺诈、胁迫等方式处理（如定期发布社会责任报告，履行附随义务）。
二、目的原则
1. 处理应当具有明确目的
目的描述应当具有清晰的指向性，不得使用“为了公共利益/提升用户体验”等宽泛模糊表述。若目的变更，须重新取得同意。
2. 处理应当具有合理目的
目的应符合正向价值。例如维护重大利益（突发公共卫生事件）、执行法定/约定义务、维护公共利益（科研、卫生、统计等），且不给个人带来过重负担或过高风险。
3. 处理应当与处理目的直接相关
要求手段和目的的统一，无该信息参与无法实现目的。若超出原目的进行后续处理，应视为独立的新处理行为或目的变更。
4. 采取对个人权益影响最小的方式（最小范围/不得过度收集）
收集类型有直接关联、频率为最低频率、获取数量为最少数量、存储期限为最短时间（到期即删除或匿名化），并建立最小授权访问控制策略。
三、公开、透明原则
1. 真实、完整、准确地全面披露（告知义务）
1) 告知类型：涵盖一般告知及特殊告知（敏感信息、企业合并分立、自动化决策、跨境提供等）。 2) 履行方式：一对一单独告知或统一制定隐私政策/用户协议。 3) 评判标准（透明度）：一般理性用户在具体场景下对目的、方式、范围的清晰知晓程度。
2. 告知义务应当随着处理活动的变化而不断更新
处理目的、方式和种类发生变更的，应当更新规则并重新取得个人同意。告知的充分性具有时效性要求。
四、质量原则
1. 质量原则的重要意义
1) 保护个人权益的必然要求：避免个人信息化形象与客观真实不符，要求及时更新或淘汰无用信息。 2) 保障程序性权利的基础：个人行使更正权、补充权、删除权时，处理者需依规核实信息质量。 3) 数据有效处理的前提：不准确/不完整的数据会破坏数据可用性与商业价值。 4) 建设数字社会与数字政府的关键：公共数据价值释放依赖于高质量的数据管理。
五、责任原则
1. 对处理活动的规范化负责
多主体共同处理时需明确各自责任；委托处理需监督受托方；特殊主体（如大型平台）需承担特别平台责任；国家机关处理不能逾越法定职权界限。
2. 重点负责保障个人信息安全
确保信息的秘密性、完整性与可用性。需采取物理措施（保障介质安全）、技术措施（防病毒、防漏洞）和管理措施（分级分类、加密去标识化、人员培训、应急预案），并承担泄露时的补救减损义务。
3. 对违法处理行为承担法律责任
1) 民事责任机制：实行* 过错推定责任 *。 2) 责任多元化：包括高额行政罚款、个人信息保护公益诉讼制度等。
六、原则的适用
第二章 个人信息处理规则
第一节 个人信息处理规则概述
一、个人信息处理的合法性基础
（一）取得个人的同意
原则上，个人信息处理均应获得信息主体的同意方能获得合法性基础。由于其特殊地位，《个人信息保护法》第 14~18 条对此规则予以专门细化。
（二）法定许可
基于公共利益的考量，《个人信息保护法》规定了 6 种无需取得个人同意的法定许可情形：
1. 为订立、履行个人作为一方当事人的合同所必需，或按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需
- 合同缔结与履行必需：信息主体与处理者是缔约双方，必须处理信息才能缔结或履行合同（如电商配送）。判断标准需结合合同目的，若有侵害更小的方式则无法适用该许可。
- 实施人力资源管理必需：典型情形为用人单位为员工缴纳“五险一金”。为防止滥用，必须以依法制定的劳动规章制度和依法签订的集体合同为规范依据。
2. 为履行法定职责或者法定义务所必需
- 法定职责：公权力机关依据法律法规享有的职权与义务（如刑事侦查不公开原则下，侦查机关处理个人信息无法取得同意，适用此许可）。
- 法定义务：普通民事主体依据法律法规负有的义务（如用人单位依法为职工投保工伤保险）。
3. 为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需
- 应对突发公共卫生事件：如流行病防控中的数字追踪技术。该情形具有明确的法定判断标准，应优先适用。
- 紧急情况下的生命财产保护：将自然人的生命健康和财产安全置于个人信息权益的优位；且受保护的利益不局限于信息主体本人，也包括信息主体之外的自然人。
4. 为公共利益实施新闻报道、舆论监督等行为，在合理的范围内处理
- 为推进民主、形成良俗，个人信息权益需适度让步（如对腐败行为的揭露无需获得腐败者的同意）。
5. 依照本法规定在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息
- 缺乏明确的利益保护目的，通常需要与其他合法性基础重叠适用。
6. 法律、行政法规规定的其他情形
- 作为兜底条款，赋予行政执法机构、法院一定的裁量权，确保宽泛的公共利益考量与权益保护实现动态平衡。
二、“告知—同意”规则
（一）“告知—同意”规则的历史渊源
至今仍是全球主流个人信息保护立法的核心，其渊源主要有三种学说：
1. 医疗领域起源说
起源于医疗领域的“患者知情同意原则”（如我国《民法典》中的医疗风险告知义务）。
2. 公平信息实践起源说
起源于 20 世纪 70 年代美国政府的《公平信息实践准则报告》。
3. 德国立法确立说
起源于 1970 年德国黑森州《数据保护法》（全球最早的个人信息保护实证法）。
（二）“告知—同意”规则的性质
1. 我国“告知—同意”规则的性质（多维制度工具）
- 基本权利的合规属性：视为处理合法性基础，是处理者尊重基本权利的合规证明。
- 消费者合同的特征：虽有诸多法定限制，但仍有协商空间。立法删去了“意思表示”一词，说明其属于 公私法融合的消费者合同 ，区别于传统合同。
- 行政执法与自我规制工具：告知同意所依托的文本（隐私政策）可作为企业的自我声明（执法依据）、自我规制章程以及传达声誉的媒介。
（三）告知规则
1. 告知的时间
- 原则要求：必须在 处理前 进行告知。处理目的、方式和种类发生变更的，应当 重新取得同意 。
- 例外情形：紧急情况下为保护生命财产安全无法及时告知的，应当在 紧急情况消除后及时告知 。
2. 告知的形式
- 以显著方式、清晰易懂的语言：应采用适宜阅读的界面与语言，结合业务功能使用组合告知形式（如一般告知、增强告知、即时提示）。
- 真实、准确、完整：保障信息主体对处理操作有充分了解，作出真实的同意决定。
- 规则公开：处理规则（如隐私政策）应当公开，并且便于查阅和保存。
3. 告知的事项
- 处理者的名称（姓名）和联系方式：权利行使的基础。
- 处理目的、处理方式： 处理目的是诸告知事项的核心 ，决定了同意是否真实有效，需避免“提升服务质量”等宽泛表述。
- 处理的个人信息种类、保存期限：需具体列明（如需明确标注“人脸识别信息”而非宽泛的“生物识别信息”），保存期限应当与目的相称。
- 行使权利的方式和程序：包括权利类型（查阅、更正、删除等）、联系方式、投诉/起诉途径等。
- 法定其他事项：法律、行政法规规定的其他需要告知的事项。
（四）同意规则
同意是指信息主体 自愿、明确 地对其个人信息所受处理作出的授权行为。
1. 同意的形式
- 一般形式（明示原则）：个人在充分知情前提下自愿、明确作出。可通过主动勾选、开启权限、签字等方式呈现。 预选方框、不作为等默示行为一般不构成同意 。
- 单独同意（特殊形式）：针对特定高风险处理活动作出的明确具体的同意。需与其他处理活动区分（增强告知）。法定适用场景包括： 向其他处理者提供、公开信息、公共场所图像用于非公共安全目的、处理敏感信息、向境外提供信息 。
- 书面同意（特殊形式）：依据法律/行政法规要求（如处理敏感信息），需以纸质或电子签字签章形式确认，有助于审慎决策与争议解决。
- 重新同意：处理目的、方式、种类发生变更时的必经程序。
2. 撤回同意
- 含义：信息主体对已作出的授权予以取消。
- 特征一：不同于民法意思表示撤回：同意到达处理者后仍可行使。
- 特征二：不受除斥期间限制：旨在保障人格利益随时处于圆满状态。
- 特征三：不具有溯及力： 撤回同意不影响撤回前基于同意已进行的个人信息处理活动的效力 （防止引发不可控的涟漪效应与过高守法成本）。
3. 同意与提供产品或服务
- 禁止强制同意：不得以不同意或撤回同意为由，拒绝提供产品或服务。
- 例外情形：处理个人信息 属于提供产品或服务所必需 的除外（如云服务必须收集线上存储信息）。且仍需受目的原则的“最小限度”约束。
三、有关个人信息处理者的一般规定
（一）多方参与的个人信息处理
1. 共同处理（共同决定目的和方式）
- 外部关系（连带责任）：侵害权益造成损害的，依法承担连带责任。
- 内部关系（内部约定）：应当约定各自的权利和义务。但该约定 不具有对抗效力 ，不影响个人向其中任何一个处理者要求行使法定权利。
2. 委托处理（处理者委托他人处理）
- 委托双方的权利义务： 必须签订委托合同 ，约定目的、期限、方式、种类、保护措施等。处理者负有对受托人的 监督义务 。
- 受托人的行为界限：必须按约定处理，不得超出约定范围；一旦受托人对目的或方式施加了实质影响，其 法律地位将转化为处理者 。
- 合同失效的处理：委托合同不生效、无效、被撤销或终止的，受托人 必须返还或删除信息，不得保留 。
- 转委托限制：未经处理者同意，受托人 不得转委托 ；若同意转委托，原处理者的监督对象也延伸至转受托人。
- 受托人与信息主体的关系：两者之间 没有直接的权利义务关系 。信息主体主张权利的对象限于处理者，防止处理者借外包逃避问责。
（二）个人信息处理者变更
因合并、分立、解散、宣告破产等原因导致处理者法人资格变更的规则：
- 告知义务：需要转移信息的，应当向个人告知 接收方的名称（姓名）和联系方式 。
- 义务承继：接收方具有了处理者地位，应当继续履行原个人信息处理者的义务。
- 重新同意的限度： 只有当接收方变更原先的处理目的、处理方式时 ，才需要重新取得个人同意；若保持原样则无需重新获取同意（因实际业务/组织实体具有连续性）。
（三）对外提供个人信息
指个人信息处理者向 其他个人信息处理者 提供其处理的个人信息的情形。
- 适用范围的界定：仅限于 两个独立的个人信息处理者之间 （提供方与接收方均有权决定目的与方式）。不适用于“委托处理”和“企业合并分立转移”的情形。
- 提供方的“告知—同意”规则：必须告知接收方的名称/姓名、联系方式、处理目的、方式和种类，并 取得个人的单独同意 （需采用增强告知的形态提示特殊风险）。
- 接收方的规则：必须在告知的范围内处理；若接收方变更原先的处理目的、处理方式的，应当依照规定 重新取得个人同意 。
四、自动化决策
以《个人信息保护法》第 24 条为中心，对自动化决策的定义及相关规则进行论述。
（一）自动化决策的概念与风险挑战
法律对自动化决策加以控制的理据（风险挑战）：
- 挑战知情权与自主性：决策主体变为计算机程序，规则不透明，使个人难以知晓决策效果。
- 威胁隐私与自由：增加个人信息汇聚比对风险，剥夺获取多样化信息的可能性，使用户困于“信息茧房”。
- 导致歧视与偏见：算法设计往往渗透设计者的歧视，且因不透明而具隐蔽性，严重危害社会平等。
（二）自动化决策的一般规则
1. 透明度
- 双层属性：既是处理者的客观义务（“公开、透明原则”的细化），也是个人的主观权利（有权要求解释说明）。
- 实现方式：完全透明难以实现。处理者应以增进信任为目标，在系统解释与个案解释、事前与事后解释中进行选择，而非强求绝对可解释性。
2. 结果公平、公正
- 核心内涵：禁止“不合理的差别待遇”（如“大数据杀熟”）。允许合理差别，但“合理”属裁量性概念，需监管机构在利益衡量基础上进行个案判断。
- 双层保障：监管部门的行政执法（客观义务），以及个人行使限制/拒绝处理权（主观权利）。
（三）自动化决策的特殊规则（信息推送与商业营销场景）
- 规则内容：通过自动化决策进行信息推送、商业营销， 应当同时提供不针对其个人特征的选项，或者向个人提供便捷的拒绝方式 。
- 意义：治理“信息茧房”，恢复信息主体的个人信息自决权。选项的提供在操作层面上属于一种增强告知，辅助用户作出拒绝同意的决定。
（四）对个人权益有重大影响的情形
当自动化决策作出对个人权益有重大影响的决定时，个人享有两项权利：
1. 要求说明权
要求处理者对决策予以说明，以对风险产生客观认识。
2. 完全自动化决策拒绝权
有权拒绝仅通过自动化决策作出的决定。“仅通过”指决策过程中未进行任何人工作为辅助或评估。权利行使后，该自动化决策即丧失合法性。
五、个人信息公开的一般禁止
- 在“告知—同意”基础下：该条属于 默认规则（法定预设偏好） 。由于现实中告知同意具有不完备性，法律预设个人不同意公开；但个人可以通过“单独同意”来否决该错误预设。
- 在法定许可基础下： 该条不适用 。例如法院公开“失信被执行人名单”系为履行法定职责，公开的合法性取决于是否与利益保护目的相称，无需获得单独同意，否则将与公共利益产生冲突。
六、在公共场所安装图像采集、个人身份识别设备的处理规则
- 规范目的：回应设备泛滥带来的高风险，严格限制目的至“维护公共安全”。
- 参引规范：如需遵守“人脸识别司法解释”。
- 提示义务：设置显著标识，方便个人采取主动避让或其他行动。
七、已公开个人信息的处理规则
（一）已公开个人信息处理的合法性基础
本条作为直接合法性基础，因缺乏明确的利益保护目的，需结合具体情形：
1. 个人自行公开（推定同意）
信息主体对其信息被处理具有可预期性。可通过扩张“告知—同意”规则获得推定的同意（受明确拒绝权约束）。
2. 合法强制公开（法定许可的延伸）
后续处理的合法性来源于与该依法强制公开行为 相一致的利益保护目的 。
（二）已公开个人信息的认定标准
- 个人自行公开：需进行 场景化判断 （法官采取一般大众视角辨识广泛接受的信息流动规范）。如在某平台公开并不意味着同意被第三方抓取至其他平台。
- 合法强制公开：事实上已被合法强制公开的范围。
（三）合理范围的认定标准（目的特定原则的细化）
- 个人自行公开的合理范围：同样依赖于 场景化判断 ，依据一般大众的信息流动预期。
- 合法强制公开的合理范围：必须结合 法定许可的利益保护目的 。如裁判文书公开的目的是舆论监督，处理行为必须以此为限；若用于失信惩戒则超出合理范围。
（四）阻断合法性的例外情形
存在两项例外情形，可作为已公开个人信息处理的合法性阻断事由：
1. 个人明确拒绝
- 在自行公开中：个人可通过明确拒绝推翻推定同意。
- 在强制公开中（条件苛刻）：只有当处理行为虽符合公共利益目的，但对个人权益的侵害 大于 所保护的公共利益时，个人才可通过拒绝阻断合法性；若处理行为本身已超出合理范围，则属非法处理，无须适用拒绝阻断。
2. 对个人权益有重大影响
- 当信息处理对个人权益有重大影响（如处理已公开的敏感个人信息）时，自动阻断法定许可的合法性，处理者必须依照规定 重新取得个人同意 （包括单独同意与书面同意）。
第三节 敏感个人信息处理规则
一、敏感个人信息的概念界定
1. 敏感性的判断维度
1) 规避主观不确定性：由于个体对“敏感”的认知存在巨大差异（主观不确定性），社会层面的“敏感”又与一国政治、经济、文化状况息息相关，我国立法采取 风险维度 进行客观阐释。 2) 风险的两个标准：
-
- 风险对象 *：包括人格尊严及人身、财产安全（范围远大于隐私权，涵盖一般人格权与具体人格权）。
-
- 风险概率 *：必须达到“容易导致”（即产生风险的概率极高）的标准。
2. 法律具体列举的六类典型敏感个人信息
1) 生物识别信息：关于自然人身体、生理或行为特征的信息（如人脸、指纹、声纹、虹膜等）。具有* 唯一性、不可替代性 *，一旦被伪造将直接损害人身、财产安全。 2) 宗教信仰信息：个人是否信仰宗教、信仰何种宗教及其程度。泄露易引起仇视或社会歧视。 3) 特定身份信息：对个人人格尊严和社会评价有重大影响的身份信息（如身份证、护照、职业身份、种族/民族身份）。 4) 医疗健康信息：涵盖就诊记录、病史、身体症状及身高体重等衡量指标。泄露易导致就业歧视或财产诈骗。 5) 金融账户信息：包含银行/证券/支付账户、密码、交易记录等，直接关乎财产安全。 6) 行踪轨迹信息：包括个人所处地理位置、活动地点和活动轨迹（如航班信息）。具体精度认定（如是否精确到经纬度）尚待进一步解释。
二、敏感个人信息的要素判断
1. 场景化判断的五个核心要素
1) 信息主体：主体的年龄、身份、性别会影响敏感性（如未成年人、具有犯罪记录者）。 2) 信息处理者：处理者的* 规模大小 与掌握的 技术能力 *可能使一般信息变为敏感信息。 3) 第三方主体：作为信息的接收方，其与处理者/信息主体的关系会影响敏感度。 4) 信息性质：信息本身与人格尊严、人身财产安全的密切程度。 5) 处理目的：目的越不合法、不正当、不必要，信息主体的风险便显著升高，该信息在该场景下就越具高度敏感性。
三、处理敏感个人信息的条件
1. 特定目的和充分必要性
- 非必要不处理原则：是对“目的特定原则”和“最小必要原则”的具体强化。《个人信息保护法》明文规定“只有”在具有特定的目的和充分的必要性时，方可处理敏感个人信息。
2. 严格保护措施
- 全方位强化保护：必须在制度、技术、管理和应急等方面采取比一般信息更严格的安全保护措施。
- 事前影响评估机制：必须进行 个人信息保护影响评估并记录 ，以判断处理目的与方式的合法正当性，以及保护措施是否与风险程度相适应。
四、处理敏感个人信息的特殊要求
1. 增强的同意规则（单独同意与书面同意）
1) 单独同意：必须在个人充分知情前提下自愿、明确作出。针对信息的收集、存储、使用、提供等环节均须单独同意，* 一揽子同意针对敏感个人信息绝对无效 *。 2) 书面同意：法律、行政法规有特殊规定时，必须以纸质或数字电文等有形方式，通过主动签名/签章形式取得（如《征信业管理条例》规定查询个人信息需书面同意）。
2. 告知的特殊性（增强告知）
除法定的一般告知事项外，处理敏感个人信息还 必须额外告知 ： 1) 处理该敏感信息的必要性。 2) 对个人权益的影响（即事前影响评估的结果，确保个人知晓高风险性并审慎决策）。
五、未成年人个人信息的保护
1. 需特殊保护的年龄界线
- 14 周岁分界线：《个人信息保护法》《未成年人保护法》等均将 14 周岁 作为强制需要监护人同意的分界线（主要考虑未成年人触网趋低、需细分保护群体）。
- 【补充】理论争议：对将分界线设为 13、14 或 16 周岁，各国立法论证均不够充分；有学者认为放弃对 14-18 岁处于叛逆期青少年的特殊网络保护存在不合理性。
2. 监护人同意规则
- 同意主体：必须取得未成年人的 父母或者其他监护人 的同意（基于儿童脆弱性与权利限制理论）。
- 同意形式：因其归属敏感个人信息，监护人的同意必须是 单独同意 或法定的 书面同意 。
- 实施要求：处理者应采取* 未成年人不易绕过的方式 *（如验证监护人联系方式）取得可验证的同意。
3. 未成年人专门处理规则
- 除履行监护人同意外，信息处理者还应当为监护人提供密码保护、阻止/允许列表、年龄验证及信息过滤等一整套便捷易用的工具，以创造安全网络环境。
第四节 国家机关处理个人信息特别规则
一、概述
1. 国家机关的界定
1) 狭义国家机关：立法、行政、军事、监察、审判、检察机关，以及党的机关、政协机关等。 2) 准国家机关（法律、法规授权组织）：虽非严格意义上的国家机关，但依据《行政处罚法》等享有管理公共事务职能，本法将其 视同国家机关 予以规制。
二、国家机关处理个人信息的合法性基础
1. 为履行法定职责所必需（最主要的合法性基础）
1) “法定职责”中“法”的范围界定：
- 学界存在争议，通说采 广义说 ，即不限于全国人大法律和国务院行政法规，* 还包括地方性法规、部门规章及地方政府规章等规范性文件 *（以保障正常公务运作，如下位法越权可经由附带审查确认违规）。 2) “所必需”的比例原则判断：
-
- 适当性分析 *：处理行为必须与履行法定职责直接相关（如防疫机构无权收集既往病历、作息时间等无关信息）。
-
- 必要性分析 *：有同等效果且侵害更小的替代手段时，必须不处理或少处理。
-
- 相称性分析 *：处理信息的收益与对信息权益的干预必须成比例（如通信信息极度敏感，仅限追查犯罪与维护国家安全）。
2. 取得个人的同意
- 适用场景较罕见（如国家机关向公民个人购买服务处于平等民事关系时）。
- 有效性标准：必须防范国家机关利用权力优势规避法定职责。只有在 个人不同意完全不影响获得国家机关的给付，也不会招致不利对待 时，该同意方为有效真实。
3. 为订立、履行合同或实施人力资源管理所必需
- 适用场景：国家机关作为平等民事主体向个人采购物品（收集账户信息），或进行内部公职人员/职工的人事管理。
4. 应对突发事件或者紧急情况下保护人身财产安全所必需
- 法定授权应急：部分机关拥有专门应急法定职责（如疾控、应急管理部门），此时应直接适用“依法履职”。
- 无授权应急（行政应急原则）：无专项授权的机关基于防疫等需要处理信息，可援引此款。必须在* 事后接受审查 *；确属必需方可免责（但依《民法典》仍应补偿），若不能免责则承担国家赔偿责任。
5. 合理处理已自愿或合法公开的个人信息
国家机关适用此基础必须满足四项严苛条件： 1) 对世公开：不得以局部内网公开作为处理依据。 2) 自愿或合法查明义务：机关负有合理注意义务，确认该信息确属个人自愿公开或已被依法公开。 3) 比例合理：追求的公共目标与对个人权益的干预必须成比例。 4) 阻断例外：个人明确拒绝，或该处理对个人权益有重大影响时，国家机关原则上不得处理（须转而寻求“个人同意”）。
6. 法律、行政法规规定的其他情形
- 必须区分于一般的“法定职责”。例如《统计法》《档案法》明确规定的信息处理活动直接适用本项。
三、国家机关处理个人信息的告知义务
1. 告知 + 同意
在基于个人同意进行处理时，严格适用“告知—同意”双重规则。
2. 告知 + 无须同意
在依据“法定职责”、“法定其他情形”、“订立合同/人事管理”等非同意基础处理时， 原则上仍需履行事前告知义务 。
3. 无须告知 + 无须同意（特例与事后补充）
- 紧急避险情形：紧急情况下无法及时告知的，应当在 紧急情况消除后及时告知 （事后告知）。
- 妨碍履职例外：告知将 妨碍国家机关履行法定职责 的除外（【补充】此处的“妨碍”指导致法定职责目的彻底落空，不能以增加执法手续或成本为由规避告知义务）。
四、国家机关处理的个人信息跨境流动规则
1. 国家机关处理的个人信息境内存储义务
- 适用范围：仅限国家机关在 我国境内收集和产生 的个人信息。
- 境内存储的判断标准：
-
- 物理空间 *：个人信息存储介质位于我国境内。
-
- 虚拟空间 *：存储在境内的信息 不能被境外组织或个人读取 （但公开渠道被境外依法读取的除外，公开行为受《政府信息公开条例》等规制，不视同跨境提供）。
-
2. 国家机关处理的个人信息跨境提供规则
1) 安全评估出境通道：
- 自行评估机制 ：国家机关确需出境的，应当自行开展安全评估， 无须向网信部门申报监管评估 （避免下级审查上级等违背行政科层制的现象）。
- 要求协助机制 ：国家机关进行评估时， “可以要求有关部门（如网信部门）提供支持与协助” 。为弥补专业能力不足，非网信部门原则上都应当要求协助，且被要求机关必须协助（【补充】通常实行“下助一级”或跨级对接机制）。 2) 其他跨境通道：
- 物理载体出境 ：受《保守国家秘密法》等规制，涉密人员与介质出境需审批与边防检查。
- 国际合作出境 ：我国缔结或参加的国际条约、协定对出境有规定的，可直接依条约执行， 无须进行安全评估 。 3) 绝对禁止情形：经安全评估认定可能影响国家安全、损害公共利益，或难以保障信息安全的，绝对不得出境。个人 不能 通过“单独同意”来强行授权此类信息出境。
第三章 个人信息跨境提供规则
第一节 个人信息跨境提供概述
一、个人信息跨境提供的价值与国际背景
（一）个人信息跨境提供的多重价值
1. 个人信息跨境提供中的隐私权保护价值
- 数字时代隐私保护客体的特征：隐私信息呈现 电子化、虚拟化、代码化、规模化 及多变化特点，极易在数据化过程中被公开，面临自动抓取、网络爬虫等技术带来的泄露风险。
- 隐私保护的现实意义：旨在尊重个体人格，避免数据主体遭受财产或精神利益损失。
- 跨境流动隐私保护的特殊挑战：与纯国内流动相比，跨境流动涵盖地域广、复杂且无明显规律（如境外企业收集本地数据但不经本地服务器），需遵守多国差异化规范，侵权范围更大。
- 跨境隐私权保护的特征：具有* 国际化、复杂多样化以及碎片化 *的特点，冲突性与挑战性极强。
2. 个人信息跨境提供中的国家安全价值
- 《网络安全法》（2017）的规制：从网络数据安全角度，要求 关键信息基础设施运营者 在境内收集产生的个人信息 应当在境内存储 ；确需出境的须进行 安全评估 。（该规则已被《个人信息保护法》第 40 条吸收）。
- 《数据安全法》的规制：旨在规范数据处理，促进开发利用，保护合法权益，并维护国家主权、安全和发展利益。
- 《数据出境安全评估办法》（2022）的规制：防范本国个人信息流出的安全风险及国内产业丧失数据利用机会的隐患。
3. 促进国际经贸关系发展
传统国际社会注重货物、服务等跨境转移而忽视数据。目前相关协调主要体现在多边体制与区域贸易协定中。
- 《美国—墨西哥—加拿大协定》（USMCA）的数字贸易规则：
- 核心主张反映美国诉求：数字产品免征关税、非歧视待遇、数据跨境提供自由。
- 禁止性规定： 禁止计算设施本地化 ； 禁止 以本地经营许可为条件 强制要求提供或转让软件源代码 。
- 隐私保护标准：要求参照 APEC 和 OECD 的相关框架处理。
- 《跨太平洋伙伴关系协定》（TPP / CPTPP）的规则：
- 扩展“跨境数据流动”概念：淡化国境强调“全球性”；在合法公共政策目标下强调“自由性”；要求“信息”与“数据”均实现自由流动。
- 四大目标：减少壁垒、保护消费者、促进流动便利化、国际协调。
- 例外与限制：允许基于“合理的公共政策目标”采取例外限制，但 明确不得将境内设置数据存储设施作为市场准入条件 。未强推最低保护标准，允许各方自主建立法律机制。
（二）个人信息跨境提供的国际背景
1. 个人信息跨境提供的多边国际行动
- 鼓励跨境数据流动，推动数字经济：
- OECD（1980 年指南）：首个提出跨境流动执行原则，呼吁避免以保护隐私为名限制自由流动。
- APEC（2005/2015 年框架）：指导亚太地区数据自由流动。
- WTO 与 G20：通过《信息技术产品协议》（ITA）减免关税；G 20 发起《数字经济发展与合作倡议》。
- 构建数据隐私保护框架与信任体系： 5. OECD：倡导构建推动数据流动的保护框架，确保跨境流动的安全可持续性。 6. APEC：启动 跨境隐私规则（CBPR）体系 ，设立“问责代理”机构，建立消费者数字技术信任。
- 关注风险管控与互操作性： 8. OECD（2013 年框架）：提出国家隐私战略、隐私管理程序、安全漏洞通知，强调监管互操作性。 9. APEC：建立 跨境隐私执法安排（CPEA） ，监督参与企业的保护情况，提升执法互操作性。
2. 个人信息跨境提供中的国际行动困境
二、我国关于个人信息跨境提供的制度建设
三、个人信息跨境提供中的执法与司法国际合作
1. 我国在执法与司法跨境调取个人信息的基本立场
- 核心底线： 国家主权不容侵犯 。坚持必须通过主权国家之间的 平等互惠合作 开展调取。
- 拒绝《网络犯罪公约》原因：该公约第 32 条允许“通过互联网直接获取境外电子数据”，我国将其视为侵犯他国主权，故拒绝加入，转而推动联合国层面的新条约。
2. 我国跨境执法协助的法律规制体系
3. 应对执法跨境调取的未来战略与出路
- 转向多边合作模式：单边防御非最佳出路。应将压力疏导至多边框架，推动如《全球数据安全倡议》等国际合作方案。
- 分层级推进区域合作：探索“一带一路”多边或双边方案，升级现有司法协助条约，兼顾协作效率与我国网信企业“出海”的全球运营利益。
- 完善国内数据安全阻断立法：后续立法应进一步明确申请、审核、批准的法律程序、时限，厘清其与“数据出境安全评估”的协调关系及法律责任。主管机关在实施中应秉持 “坚持原则但灵活处理” 的态度，既维护数据主权，又避免误伤出海企业利益。
第二节 个人信息跨境提供的安全评估制度
一、数据出境安全评估制度分析
（一）适用范围
适用安全评估的触发门槛（分类条件） ：
1. 重要数据强制评估
出境数据涉及“重要数据”的，一律强制评估（不仅限关键信息基础设施运营者，扩大至所有数据处理者）。
注意：某些行业（如汽车行业）规定“涉及个人信息主体超过 10 万人的个人信息”属于重要数据，亦需按重要数据管理。
2. 个人信息出境评估（满足以下条件之一）
- 主体条件：关键信息基础设施的运营者；或处理 100 万人以上个人信息的数据处理者。
- 客体条件：自上年 1 月 1 日起累计向境外提供 10 万人个人信息；或自上年 1 月 1 日起累计向境外提供 1 万人敏感个人信息。
- 其他条件：国家网信部门规定的其他情形。
（二）评估原则
（三）风险自评估与安全评估
1. 评估流程
- 前置程序：申报安全评估 前 ，应当先开展数据出境 风险自评估 。
- 主导机构：国家网信部门在安全评估中居于主导地位（可指定特定专门机构进行）。
2. 评估事项及简析
二、数据出境安全评估具体流程设计与实现
（一）个人信息出境安全评估总体流程
- 个人信息识别：识别是否包含个人信息、个人敏感信息。
- 合规性评估：评估出境目的、是否同意、数据最小化原则、合法性。不具备合规性则不得出境。
- 安全风险评估：评估个人信息属性、收发双方安全保护能力、接收方政治法律环境。若风险为“高或极高”，则不得出境；中低风险则可出境。
（二）重要数据出境安全评估总体流程
- 重要数据识别：识别是否包含重要数据。
- 合规性评估：评估出境目的、数据最小化、合法性（无需“征得主体同意”这一项）。不具备则不得出境。
- 安全风险评估：评估重要数据属性、收发双方安全保护能力、接收方政治法律环境。若风险为“高或极高”，则不得出境。
第三节 个人信息跨境提供的标准合同制度
一、标准合同制度的适用范围
1. 典型适用场景
- 同类重复传输：多见于跨国运营大型组织的人力、金融、客户信息处理。标准合同可降本增效，便于监管。
- 关联性传输：多见于跨国公司内部及关联实体。双方联系紧密，重点构造责任承担条款。
2. 结构特色（传输模块）
- 域外经验：欧盟区分为控制者/处理者的不同组合模块。
- 我国现状与对策：我国《个保法》中的“个人信息处理者”概念实质吸收了域外的“控制者”与“处理者”概念，导致我国无法直接套用域外细分模块。实践中应对进出口方实际角色（实际控制方/处理方）予以区分，例如单独制定委托处理的标准合同条款。
二、进出口方的个人信息保护义务
（一）个人信息安全义务（主给付义务）
- 共同义务：双方应采取适当技术和运营措施，确保处理安全，避免泄露、篡改等。
- 出口方侧重：确保传输过程中的安全性。
- 进口方侧重：对收到信息承担额外安全义务（定期检查、授权人员保密）；作为处理者时需制定内部管理制度，限制访问权限。
（二）个人信息安全事件的通知义务（进口方典型义务 / 真正义务）
- 扩张解释通知事由：不仅限于泄露、篡改、丢失，应涵盖所有可能危及安全的风险源。
- 构造方案：知悉风险或现实危险时， 进口方与出口方 应立即通知相关部门及个人信息主体。内容包括事件性质、危害、已采取及可采取的措施。由于进口方更了解现实风险，应重点构造其通知义务。
（三）个人信息安全事件的补救、减损义务（进口方典型义务 / 真正义务） 进口方更能有效实施补救。具体构造：
- 发生或可能发生安全事件时，进口方应立即采取补救措施减轻危害。
- 进口方因无法遵守合同可能造成风险时，应通知出口方；出口方知悉后应采取适当措施补救并通知部门。
- 补救措施包含补充性技术或组织保护措施。
（四）告知义务（透明度要求 / 出口方典型义务）
- 双重义务：主动告知义务（处理事项、传输主体经营变动）与经问询告知义务（回应主体查阅、复制请求）。
- 方式：明示提供副本、部分保密副本或可理解摘要。特定情形下进口方亦负告知义务。
（五）目的限制义务（进口方典型义务） 由于信息传输后主要由进口方实施处理，进口方承担限制义务更合理。
- 一般规则：进口方应限于约定目的处理；委托传输中需按委托人指示处理。
- 豁免规则：
- 相对豁免 ：超出特定目的处理，若事先或嗣后补足主体“同意”要件，则不违规。
- 绝对豁免 ：属于“履行法定义务/法定职责所必需”等法定无须同意的情形，不违规。
（六）合规审计义务（出口方典型义务）
- 性质界定：名为义务，实为 出口方对进口方的审计权限 。
- 内容扩张：《个保法》第 54 条仅规定自身遵守法律法规的审计（自律性对己义务）。但在跨境传输背景下，应当作目的性扩张解释，除法律合规审计外， 必须包括对进口方是否遵守标准合同条款的“合同合规审计” 。
第四节 个人信息跨境提供的认证制度
一、认证的功能
1. 审查和确认能力
- 核心审查内容：审查和确认个人信息处理者是否具备根据个人信息出境风险 采取合理必要措施的能力 ，以及是否有能力确保境外接收方的保护水平满足我国法律标准。
2. 持续性监督与分担监管
- 动态调整监督：认证机构需对获证企业进行持续性监督，确保其能根据出境风险变化动态调整措施。
- 监管分担：认证是分担国家监管部门个人信息出境监管重任的有效途径。
3. 提供市场化解决方案
- 灵活平衡：作为第三方市场化方案，能够灵活且同时满足跨国企业的商业性跨境提供需求与国家的安全监管要求。
二、认证的范围
1. 认证主体范围
- 普遍适用：凡是个人信息处理者皆可申请该项认证。
2. 认证对象范围
- 广泛覆盖：涉及个人信息处理活动过程中的 产品 、 服务 和 管理体系 。
3. 认证内容与处理活动
- 全生命周期覆盖：包括个人信息的收集、存储、使用、加工、传输、提供、公开、删除，以及数据跨境传输等所有处理活动。
三、认证的依据
1. 基础法律依据
- 《认证认可条例》：界定“认证”是由认证机构证明产品、服务、管理体系符合相关技术规范或标准的合格评定活动。
2. 核心技术规范依据
- 《信息安全技术 个人信息安全规范》：国家标准， 所有 申请认证的个人信息处理者均需要符合该规范要求。
- 《个人信息跨境处理活动安全认证规范》：技术规范， 开展数据跨境传输 的个人信息处理者，还应当额外符合此项规范要求。
四、认证的程序
1. 受理阶段
- 初步审查：认证机构对提交的认证委托进行审查，决定是否受理并反馈；受理后确定并告知认证方案。
2. 具体实施阶段
- 技术验证：技术验证机构实施验证，并出具《技术验证报告》。
- 现场审核：认证机构在收到技术验证报告后实施现场审核，并出具《现场审核报告》。
3. 评定与监督阶段
- 综合评价：认证机构综合各方报告与资料，决定是否通过并颁发证书。
- 获证后监督：在有效期内，认证机构须以合理频次对获证者进行持续监督。
五、认证证书的效力与管理
1. 证书的性质
- 资质证明：认证证书 既不是行业许可证，也不是营业执照 ，而是一种资质认证，体现对申请人个人信息保护能力的肯定性评价。
2. 证书的期限与管理
- 有效期：认证证书有效期为 3 年 。
- 延期申请：需延续使用的，应在有效期届满前 6 个月 内提出申请。
- 状态变更：有效期内可提出变更资料委托，也可申请暂停或注销。
- 动态撤销：若获证者不再符合认证要求，认证机构应当及时予以暂停直至撤销。
六、认证各方的法律责任
1. 各负其责原则
- 责任分配：认证机构、技术验证机构、认证委托人分别对各自的认证结论、技术验证结论、认证委托资料的真实性和合法性负责。
第四章 个人在个人信息处理中的权利
第一节 个人在个人信息处理中的权利概述
一、“个人信息权益”与“个人信息权利”辨析
1. 两者并用的原因
- 使用“权益”的考量：个人信息承载广泛权利与利益（人身、财产安全等），非单一权利，而是各种利益的类型化集合。
- 使用“权利”的考量：国际社会与我国立法均赋予个人知情、决定等具体手段，以此作为保障权益的方式。
2. 两者的逻辑关系
-
- 个人信息权益是“本权权益” *：主要包括人格尊严、人身财产安全及通信自由秘密等利益， 不包括财产利益 ，兼具公法与私法双重性质。
-
- 个人信息权利是保护“本权权益”的法律手段 *：本身不产生实际人身或财产利益，仅为救济与保护手段（如同意、拒绝、知情、查阅、复制等权能）。
二、个人信息权益和权利的平衡保护
1. 强化敏感个人信息保护（保护个人核心利益）
- 核心利益归属：人格尊严及人身财产安全，法律保护应围绕此展开。
2. 强化一般个人信息利用（让渡非核心利益）
- 非核心利益让渡：个人应将“经济利益”等非核心利益让渡给信息业者与国家，此不属于个人信息权益范畴。
- 财产利益配置：单个个人信息经济价值稀薄，配置给个人社会成本高；配置给处理者（形成数据池）有利于数字产业发展，但该财产利益 仍受个人信息权益制约 。
三、死者个人信息的保护
1. 死者个人信息保护的沿革
- 间接消极保护（传统路径）：《民法典》第 994 条等规定，死者人格要素受侵害时，近亲属基于 自身 受损的精神利益享有诉权。该条中的“等”字足以将“死者个人信息”纳入。
- 直接积极保护（现行路径）：《个人信息保护法》第 49 条迈向积极保护，鼓励死者生前作出安排，并承认近亲属的法定权利。
2. 死者个人信息的生前安排（第一顺位保护）
- 尊重生前意愿：若死者生前安排与近亲属权利冲突， 优先保护死者生前决定 。
- 安排形式：不仅包括《民法典》规定的各类遗嘱，还包括合同、指示等（如与处理者达成用户协议、特别通知、指定数字遗产联系人）。
3. 死者个人信息的近亲属权利（第二顺位保护）
- 行使前提：死者生前未作出安排或安排无效。
- 主体范围：配偶、父母、子女、兄弟姐妹、祖父母、外祖父母、孙子女、外孙子女。 各近亲属行使权利并行不悖，无先后顺位限制 。
- 目的限制：必须且仅能是为了 维护近亲属自身的合法、正当利益 （真实存在且不违背公序良俗），防止权利滥用。近亲属需负证明责任。
- 对象限制：仅限于与维护近亲属合法正当利益 具有直接、密切关系 的个人信息，而非死者全部信息。
- 内容限制：限于查阅、复制、更正、删除等权利， 不包括同意或撤回同意的权利 （删除权的行使须基于处理合法性基础消失且处理者未主动删除）。
第二节 个人的知情权和决定权
一、个人知情权、决定权系概括性权利
1. 价值指引功能
与宪法“保障人权、人格尊严、通信自由”相勾连，彰显保护目的。
2. 权利创设功能
基于个人信息权益的开放性，当既有法定列举权利无法回应技术变迁时，可经由此兜底条款创制新的具体权利（补充性、兜底性适用）。
二、知情权、决定权的对象：个人信息处理活动
三、个人知情权的行使
1. 基础与功能
知情是作决定的先决条件，基于身份享有，旨在保障个人自治，防范“信息茧房”。
2. 双重表现形式
- 个人的请求权：主动要求处理者提供信息的权利（体现为查阅权、复制权、规则解释说明权、拒绝权及救济权）。
- 处理者的法定义务：即使个人不主张，处理者也必须主动告知（如第 17 条的一般告知、第 23 条的提供给第三方告知、第 30 条的处理敏感信息告知）。
四、个人决定权的行使
1. 决定权的具体体现
- 同意权：充分知情下自愿明确作出；处理目的/方式/种类变更需重新同意。
- 特殊同意权：特定情形需 单独同意 （提供给第三方、公开、公共图像用于非安防目的、处理敏感信息）或 书面同意 。
- 撤回同意权：可随时撤回，处理者须提供便捷方式。
- 其他决定权：删除权、对自动化决策的选择/干预权、对公开信息处理的拒绝权。
五、个人知情权和决定权的相对性
1. 并非绝对权利
须与“个人信息合理利用”并列，与其他基本权利及社会公共利益相权衡。
2. 限制情形
- 知情权的限制：法定保密、法定不告知、紧急情况（需事后及时告知）。
- 决定权的限制：法定许可事由（无需同意的情形）、关键信息基础设施数据出境限制、公共场所安防监控等。
- 【补充】限制层级：对知情权和决定权的克减 只能通过法律、行政法规进行 。
第三节 个人信息权益中的请求权
一、请求权概述
1. 性质界定
属于针对特定义务人（处理者）的 请求权 ，而非绝对权。
2. 功能定位
是由知情权、决定权衍生出的 程序性权利 ，用以推动实体性权益（本权）的实现，有别于传统民法上的绝对权请求权或人格权请求权。
二、具体请求权细论
（一）个人信息查阅权、复制权
1. 权利行使的两大界限
- 对象是信息而非数据：我国采取“数据和信息合一并区分”的立场（DIKW 递进体系：数据-信息-知识-智慧）。查阅/复制必须提供 可被人理解的内容（信息） ，而非仅机器可读的代码（数据）。
- 范围限于“处理的个人信息”本身： 不包括关于处理活动的各种元数据/背景信息 （此点严于欧盟 GDPR 和美国 CCPA 的宽泛访问权）。但执法/司法机关个案中可依透明原则要求提供其他处理信息。
2. 权利行使规则
- 身份验证：必须通过适当方式证明本人真实身份。
- 法定限制：法定保密、无需告知或妨碍国家机关法定职责时无法行使。
- 诚实信用：不得恶意行使（如以此作为利益交换、妨碍业务、针对特定员工、频繁无理申请）。
- 费用承担：一般应免费及时提供，但对超出合理范围/频次的请求，可 酌情收取必要成本费用 。
（二）个人信息转移权
1. 权利行使条件（授权国家网信部门规定）
- 请求转移的是电子化、人类可读的副本，非结构化机器可读数据。
- 限于 个人主动提供 且被自动化收集的信息。
- 不得侵害第三人权益 （隐私、商业秘密等）。
- 须秉承诚实信用原则；处理者不存在技术兼容难题时，应及时提供转移途径。
（三）个人信息更正权、补充权
1. 核心目的
落实“个人信息质量原则”，保证信息的准确性和完整性。
- 准确：与客观事实相符，无错误偏差。
- 完整：针对 特定处理目的 而言全面无遗漏（非指收集全部绝对信息），并需保持时效更新。
2. 行使规则
- 证明真实身份并 提出相应的异议证据材料 。
- 处理者内部及时标注异议并核查。
- 核查确认则更正/补充；不能确认则记载异议。
- 后续告知义务：更正的信息有必要告知接收者（防虚假传播）；补充的信息必要时可告知受托人，无需强制告知其他处理者。
（四）个人信息删除权
1. 权利沿革
有别于《侵权责任法》网络侵权中的“通知—删除”规则（适用条件与后果截然不同），现行删除权基于合法性基础消灭而产生。
2. 处理者主动删除义务的触发条件（合法性基础消失）
- 基于同意：撤回同意、同意无效/不存在。
- 基于必要性（合同/法定职责/紧急情况/公共利益）：处理目的已实现、无法实现或不再必要（如服务终止、期限届满）。
- 基于正当性/合法性：个人明确拒绝公开信息处理、处理者违法违约处理。
3. 删除方式与例外（限制处理）
- 删除方式：物理销毁，或采取 匿名化措施 使其不能识别且不能复原。
- 【例外】法定不可删除：法律行政法规规定的保存期未满（如反洗钱法 5 年、电商法 3 年、证券法 20 年）。
- 【例外】客观不可删除：技术上难以实现（如区块链技术）。
- 例外时的处理：必须采取 “限制处理” 措施（仅存档保护，停止其他处理）并告知个人。
4. 个人删除权的行使要点
- 须就合法性基础消失提供证据（撤回同意除外）。
- 可向直接或间接收集者提出。
（五）个人信息处理规则说明权
1. 权利含义
要求处理者对复杂、冗长、专业的公开规则（隐私政策）进行解释说明的权利。兼具企业合规抓手与私法上保障知情权的双重功能。
2. 行使效果
处理者须以常人能懂的语言予以解释；有助于防范“黑箱操作”，并辅助实现对“自动化决策”的解释权。
三、个人享有的请求权行使路径
1. 个人信息处理者的程序义务（私力救济阶段）
- 受理机制：处理者应提供 至少两条途径 （如网站链接、电子邮件、指定电话等）受理申请。个人申请时应提供姓名、联系方式、诉求种类、范围及理由。若申请未满足条件，处理者应当通知补全，并将申请记录成册或妥善保存。
- 处理机制：处理者受理后应进行实质审查，确认是否存在不能行使权利的法定情形。特别是在面对更正、删除请求时，因关涉公众知情权、社会管理和商业利用，处理者需审查是否确有更正/补充/删除的事由， 以避免恶意的权利行使请求 。
- 回复机制：审查后应回复处理结果。若准许行使，应将信息送达申请者/第三方或及时删除； 若拒绝行使，个人信息处理者必须明确告知不能行使权利的理由 。
2. 个人的诉权（司法救济阶段）
- 个人信息保护请求权的法律基础与特征：
-
- 请求权基础 *：依托《民法典》第 995 条（人格权保护请求权），为个人信息权益提供 预防性保护 。
-
- 无过错要求 *：以恢复个人信息权利的圆满状态为目的， 无须考虑处理者的主观过错 。
-
- 无实际损害要求 *：旨在防患于未然，在没有产生物质/非物质损害的情况下亦可主张， 不需要证明实际损害 。
-
- 不适用诉讼时效 *：其性质不属于债之关系，旨在要求停止侵害、排除妨碍、消除危险， 不适用诉讼时效的规定 。
-
- 诉权行使的前置程序（限制要件）：
-
- 前置必经程序 *：诉权行使以 “个人信息处理者拒绝个人行使权利的请求” 为绝对前提。
-
- 制度考量 *：因查阅、复制、更正、删除等权利行使频度高、范围广，此规则旨在避免诉累、节约司法资源，并防止恶意诉讼人滥用权利。
-
第五章 个人信息处理者的义务
第一节 个人信息处理者的义务概述
为了科学合理设定各方职责，《个保法》第 51 条至第 59 条专门构建了个人信息处理者的义务体系，具体包含以下七大核心义务：
1. 安全保障义务（第 51 条）
- 核心要求：根据处理目的、方式、种类及风险，采取相应措施防止未经授权的访问及信息泄露、篡改、丢失。
2. 组织与人员设立义务（第 52-53 条）
- 境内处理者：达到规定数量标准的，必须指定个人信息保护负责人。
- 境外处理者：必须在境内设立专门机构或者指定代表。
3. 个人信息保护合规审计义务（第 54 条）
- 核心要求：定期对处理活动遵守法律法规的情况进行合规审计，以事前识别风险、弥补监管不足。
4. 个人信息保护影响评估义务（第 55-56 条）
- 核心要求：在处理敏感信息、自动化决策、委托/提供/公开/跨境提供个人信息等高风险场景下，必须进行事前合规与风险评估程序。
5. 补救措施与通知义务（第 57 条）
- 核心要求：发生或可能发生安全事件时，立即采取补救措施，并通知监管部门和个人。
6. 大型平台“守门人”特别义务（第 58 条）
- 核心要求：针对提供重要平台服务、用户量巨大、业务复杂的处理者，设定与其平台能力相适应的特别保护义务。
7. 受托人义务（第 59 条）
- 核心要求：接受委托处理个人信息的受托人，应采取必要安全措施并协助处理者履行义务。
第二节 个人信息处理者的一般义务
一、个人信息处理者安全保障义务
1. 制定内部管理制度和操作规程
- 内部管理制度：明确组织架构、人员配备、行为规范与管理责任。
- 操作规程：规范业务活动中相关人员必须遵守的程序和步骤。
2. 对个人信息实行分类管理
- 司法实践（如“微信读书案”）：法院将信息分为私密信息（强化防御）、一般信息（同意后处理）、兼具防御与利用期待的信息（依场景处理）。
- 法定分类体系：《民法典》区分为私密与一般信息；《数据安全法》区分为重要与一般数据；《个保法》进一步提炼出 敏感个人信息 （生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹及不满 14 周岁未成年人信息）。
3. 采取相应的加密、去标识化等安全技术措施
- 核心原则：积极预防风险，在合理成本内采取最大限度的技术保障。
- 判定标准（均衡性原则/狭义比例原则）：判断技术措施是否“相应”，必须进行利益权衡。若某项技术有效性强但成本过高，收益不成比例，则不强制要求；若成本与有效性成比例，则具有强制采取的义务。
4. 合理确定操作权限并定期进行安全教育和培训
- 权限控制：贯彻 最小授权原则 ，严格设定访问权限，控制知悉范围，以便各负其责并为事后追责提供依据。
- 人员培训：制定培训计划、形成培训记录，提升从业人员安全意识与技能。
5. 制定并组织实施个人信息安全事件应急预案
- 制度功能：在遭遇黑客攻击或软硬件故障引发安全事件时，能有效处置并最大程度降低损失。
- 预案要素：必须包含各方分工责任、风险场景、事件分级判断、处置操作流程、沟通报告内容及等级、补救措施与业务恢复步骤等。
6. 实施法律、行政法规规定的其他措施
- 兜底协同：作为基本法的《个保法》需与其他法律衔接。如需履行《数据安全法》的全流程管理与网络安全等级保护义务，以及《关键信息基础设施安全保护条例》中的应对网络攻击等特殊义务。
二、指定个人信息保护负责人（PIPO）义务
（一）个人信息保护负责人的产生背景与价值
（二）应指定个人信息保护负责人的情形
- 历史沿革：2017/2020 年《个人信息安全规范》曾采用“从业人员超 200 人”或“处理超一定数量信息（50 万/100 万人或 10 万敏感信息）”的双重标准。
- 现行规则： 处理个人信息达到国家网信部门规定数量 的个人信息处理者必须设立。其底层逻辑在于：处理数量越庞大，一旦侵权对个人、公共利益甚至国家安全的危害就越深。
（三）个人信息保护负责人的监督职责与保障机制
1. 全过程独立监督职责
- 事前监督：审查是否制定/更新保护政策及规程、是否采取安全措施、是否开展人员培训。
- 事中监督：审查处理全过程是否合法合规（如是否过度收集、是否开展有效的个人信息保护影响评估、是否定期合规审计）。
- 事后监督：监督发生损害时是否积极补救；公正调查处理用户的相关维权投诉。
2. 履职义务与责任承担
- 报告义务：发现违法问题必须及时向政府监管部门报告， 严禁协助处理者掩盖违法事实或销毁证据 。
- 责任界限：PIPO 并非直接责任人，仅对其监督不力或故意违法行为承担相应责任。
3. 履职保障机制
- 资源与独立性：处理者必须为 PIPO 提供必要的履职资源，保障其知情权。
- 组织架构：需确保其能便利地向最高管理层直接报告， 禁止其兼任与监督职责相冲突的职位 。
三、个人信息保护合规审计义务
1. 合规审计的依据标准
- 底线标准（强制最低要求）：必须定期审计是否遵守 国家法律、行政法规 。
- 全面标准（主动合规要求）：“合规”绝不限于“合法”。为了查漏补缺和提升竞争力，处理者应当主动将部门规章、规范性文件、国家标准、 商业惯例、行业规则、公司内部规章制度乃至国际条约 等纳入全面审计依据。
2. 合规审计的核心内容
- 审计对象：一切与个人信息处理活动相关的行为。
- 具体包含（四大维度）：处理者义务合规审计、个人权利实现方式合规审计、个人信息处理活动本身合规审计、个人信息跨境提供合规审计。
四、个人信息保护影响评估义务（PIA / DPIA）
1. 个人信息保护影响评估的制度功能
- 检验个人信息处理是否合规：首要功能。通过事前审查（如是否过度收集、处理敏感信息是否必要），未雨绸缪地发现违规问题， 合规是风险控制的前提 。
- 识别并降低个人信息安全风险：评估是有效的风险控制工具。通过前移保护关口，有针对性地设计业务流程和防范措施，实现 风险可控 ，从而最大化发挥数据流动价值。
- 减轻或免除个人信息处理责任：作为证明处理者合规努力的 关键证据 。在面临民事侵权或行政处罚（过错推定原则）时，若能证明已进行有效评估并采取措施，可用于证明无过错或小过错，进而减轻或免责。
2. 必须进行影响评估的法定情形（高风险活动）
- 处理 敏感个人信息 。
- 利用个人信息进行 自动化决策 。
- 委托处理 、 向其他处理者提供 、 公开 个人信息。
- 向境外提供 个人信息。
- 其他对个人权益有 重大影响 的个人信息处理活动。
3. 评估主体的延伸（应适用于国家机关）
4. 个人信息保护影响评估的具体内容
- 评估合法、正当、必要性（合规评估维度）：对处理目的和手段的形式与实质合法性进行评价，这是能矫正双方不平等态势的核心，属于 比例原则 的体现，统领其他各项评估。
- 评估对个人权益的影响及安全风险（风险评估维度）：
- 权益影响：评估限制决定权、差别待遇、名誉/精神受损、财产受损等。
- 安全风险：评估网络攻击或内部管理疏漏引发的泄露、篡改、丢失威胁。
- 评估保护措施是否合法、有效并与风险程度相适应（应对措施维度）：从事高风险处理必须承担更高的注意义务，必须在合理成本内采取真正实效的技术（去标识化/匿名化）和组织保障措施。若无法控制安全水平，则必须销毁数据。
- 法定案卷保存期：评估报告和处理情况记录 应当至少保存 3 年 。
五、采取补救措施、履行通知义务
1. 补救与双重通知义务的触发条件
- 触发情形：发生或者 可能发生 个人信息泄露、篡改、丢失的。
- 法定行动要求：处理者应当 立即采取补救措施 ，并履行 双重通知义务 （通知履行个人信息保护职责的部门 + 通知个人）。
- 【补充】PIPO 的职责：个人信息保护负责人若发现此类违法/泄露问题，有义务及时向监管部门报告， 绝对禁止协助掩盖或销毁证据 。
2. 通知个人的豁免与强制规则
- 附条件豁免：若处理者采取的补救措施 能够有效避免危害的 ，可以不通知个人。
- 监管部门强制：即使处理者认为已避免危害，但监管部门认为仍可能造成危害的， 有权强制要求处理者通知个人 。
3. 法定通知内容（必须包含的三大事项）
- 发生或可能发生泄露、篡改、丢失的信息 种类、原因和可能造成的危害 。
- 处理者已采取的 补救措施 ，以及个人可以采取的 减轻危害的建议措施 。
- 个人信息处理者的 联系方式 。
第三节 大型平台的特别义务
一、大型平台的角色变迁与“守门人”概念
1. 平台角色的三个变迁阶段
-
- 早期“连接者” *：进行信息的传递与分发，形式单一，用户被动接收，未受专门规制。
-
- 中期“组织者” *：围绕主体业务拓展形成生态体系，实现多样互动并形成初步平台规则，但也带来个人隐私受侵犯等无序化问题。
-
- 现代“治理者” *：具备技术、数据和规则上的实质性优势。平台既是内部的“立法者”又是“执法者”，掌握类似公权力的 “私权力” 。为防范其追求利润忽视公共利益（滥用或不作为），各国开始探索要求其承担更强能动性的 治理责任 。
2. “守门人”（Gatekeeper）概念的演变
- 传统概念：最早由心理学家库尔特·勒温提出，后用于新闻传播学，指对信息进行筛选和过滤的主体。
- 数字守门人：随着大型平台崛起，欧美（如欧盟《数字市场法》）将此概念延伸至平台治理，指 满足特定法定标准 （营业额、估值、用户规模或业务类型等）的大型平台。
二、《个人信息保护法》中大型平台特别义务的立法特征
1. 立法动因
- 宏观政策要求：贯彻强化反垄断、防止资本无序扩张，对平台经济实施强监管的政策导向。
- 监管效能考量：赋予大型平台治理义务，可弥补行政监管力量不足，降低监管成本。
- 克服“一刀切”弊端：避免统一标准导致的小企业合规成本过高或大型企业约束不足的问题。
三、大型平台的具体特别义务要求
满足上述条件的大型平台，必须履行以下四项特别义务：
1. 建立更严格的合规制度（设立独立监督机构）
- 核心要求：除内部合规外，必须成立 主要由外部成员组成的独立机构 对个人信息保护情况进行监督，以提高透明度。
- 外部成员界定：类似独立监事/外部董事，除该监督职务外不在平台及竞争对手处担任可能影响独立性的其他职务。具备专业知识，独立行使职权， 对监督活动负责而非对平台负责 。
2. 制定并健全个人信息保护平台规则
- 核心要求：遵循公开、公平、公正的原则，制定平台规则，明确平台内产品/服务提供者处理信息的规范与义务。不能对自身提供优待或采取不正当歧视策略。
- 双重属性：
-
- 格式条款属性 *：平台需履行提示说明义务，且 不得免除自身法定义务，不得排除用户主要权利 。
-
- 自治规制属性 *：是平台规制内部处理行为的主要依据，且绝对不能与国家法律规定相抵触。
-
3. 对严重违法处理个人信息的行为停止提供服务（制止义务）
- 性质：平台作为治理方的第三方义务，包含事前审查过滤、事中阻断停服、事后惩戒报告。
- 触发界限： 仅限于平台内处理者“严重违反法律、行政法规”的情形 。
- 限制滥用：若仅是违反平台自定规则或违法情节不严重，平台 不得随意援引 此条停止服务。同时，监管部门也可依法通知“守门人”对严重违法者停服。
4. 定期发布社会责任报告并接受社会监督
- 核心要求：定期发布报告，披露平台在促进保护氛围、技术开发投入等宏观领域的履责情况。
- 【易错提示】与风险评估报告的区分：
-
- 风险评估报告 *（《个保法》第 55、56 条）：聚焦于特定高风险处理行为的事前评估，旨在 识别并降低具体安全风险及评价合法性 。
-
- 社会责任报告 *（《个保法》第 58 条）：更加 宏观、灵活 ，内容因企业社会贡献方式不同而千差万别。
-
第六章 个人信息保护监管机制
第一节 个人信息保护监管机制概述
一、我国个人信息保护监管机制的建立
（一）我国个人信息保护监管机制的立法背景
1. 《个人信息保护法》出台前的分散监管
在《个人信息保护法》出台前，《网络安全法》《数据安全法》《民法典》等均作出监管安排，采用多部门（如网信、工信、公安、行业主管等）在各自职责范围内负责的模式。 缺陷：未将“个人信息权益”置于独立位置，而是作为“消费者权益”“数据/网络安全”的附庸， 缺乏独立的个人信息保护监管机制 。
2. 《个人信息保护法》的确立
2021 年实施的《个人信息保护法》专章（第六章）规定了个人信息保护监管机制，明确由 履行个人信息保护职责的部门 作为有权监管部门，落实保护和监管工作。
（二）我国个人信息保护监管机制概述与特征
我国监管机制具有浓厚的实践与本土色彩，其核心特征体现为：
1. 统筹协调与分工协调相结合（横向）
1）延续网络治理顶层设计，授权国家网信部门行使“统筹协调”和“监督管理”双重职责。 2）结合领域广、影响大的特点，明确各行业主管部门各司其职、分工负责。
2. 中央和地方纵向合力（纵向）
1）中央层面：国家网信部门统筹，国务院有关部门分工负责。 2）地方层面：县级以上地方人民政府有关部门负有监管职责，便于动员基层执法力量，实现全方位保护。
3. 《个人信息保护法》第六章的制度架构
- 明确监管主体 ：分为中央机关（国家网信部门、国务院有关部门）和地方机关（县级以上地方人民政府有关部门）。
- 明确监管职责 ：包括宣传教育、指导监督、接受投诉举报、组织应用程序测评及公布结果、调查处理违法活动等。
- 明确投诉举报权 ：任何组织、个人有权对违法活动向监管部门投诉、举报，监管部门必须公布联系方式。
二、履行个人信息保护职责的中央机关
（一）国家网信部门
1. 历史沿革与机构性质
- 设立与升级 ：2011 年设立国家互联网信息办公室；2014 年成立中央网络安全和信息化领导小组（后改为委员会），以国家网信办为具体办事机构与执法主体。
- 机构定性 ：国家互联网信息办公室与中央网络安全和信息化委员会办公室实行 * “一个机构两块牌子” *，列入中共中央直属机构序列。其在网络治理体系中具有主导性、综合性。
2. 国家网信部门的统筹协调职能
“统筹协调”指国家网信部门就监管事宜享有与其他部门联络沟通、组织配合的职权。 意义： 1）防诿扯皮：确立统筹核心，保证工作有序推进。 2）激发动能：鼓励各监管部门发挥主观能动性落实职责。 3）形成合力：通过有序交流，形成保护个人信息的最大执法合力。
（二）国务院有关部门
1. 多部门统筹协调合作模式的合理性
个人信息保护已是全行业、全领域的共性问题，呈现复杂性、多样性和广泛性。由国务院有关部门在各自职责范围内监管具有以下优势：
- 针对性与及时性 ：能更专业地回应本行业内的保护需求。
- 节约制度成本 ：若新设单一专门机构，需剥离网信、工信、公安、市场监管、央行等多部门现有职权，成本巨大且面临专业性考验。多部门模式无须调整现有部门，不影响日常监管。
2. 典型监管部门与职责示例
- 国家市场监督管理总局 ：依据《产品质量法》《广告法》等，具体负责消费者个人信息保护监管。
- 工业和信息化部（工信部） ：在职责范围内推进电信、移动互联网（如 App 应用服务能力、申请使用权限）等领域的监管。
三、履行个人信息保护职责的地方机关
1. 地方机关的层级与范围
- 层级定位 ：* 县级以上 *地方人民政府有关部门。
- 设立目的 ：个人信息保护属于广泛的民生问题（涵盖线上线下），地方机关能增加信息主体维权的便捷度，快捷直接地保护个人信息权益。
- 典型部门及职责边界 ：（依据各领域单行法与部门规章）： 1）统计机构：查处泄露统计调查对象个人信息的行为。 2）测绘地理信息主管部门：查处互联网地图服务单位违法收集、泄露用户个人信息的行为。 3）卫生健康行政部门：查处医疗机构及人员泄露患者/受试者个人健康信息、隐私的行为。 4）旅游行政管理部门：查处旅行社未妥善保存或泄露旅游者个人信息的行为。 5）建设（房地产）主管部门：查处房地产经纪机构不当使用或泄露委托人个人信息的行为。
第二节 监管部门的个人信息保护职责
根据《个人信息保护法》第 61 条，为了具体化监管部门的工作职责，法律从四个主要方面加一个兜底条款细化了履行个人信息保护职责部门的具体内容。
一、开展宣传教育、指导监督
监管部门应当加大个人信息保护宣传，并采取相应措施指导、监督个人信息处理者。
（一）开展宣传教育
1. 宣传教育的目的与必要性
个人信息的保护需要信息主体、处理者和监管部门多方合力。针对公众与处理者“保护意识不够”“不了解权利义务”等障碍，需通过宣传（特定议题信息表现）与教育（教导启发）提高意识与能力。宣传手段灵活多样（如宣传标语、宣讲、国家网络安全宣传周等）。
2. 宣传教育的差异化对象与内容
针对不同对象，宣传教育的侧重点有明确区别：
- 面向信息主体及社会公众 ：突出介绍 * “个人在处理活动中的权利” ，并结合《个人信息保护法》与《民法典》指明权益受侵害时的 法律救济途径 *。
- 面向个人信息处理者 ：明确* 处理原则、规则及法定义务 *（如落实知情同意、安全保障义务等），强调知敬畏、守底线，不得侵害合法权益。
（二）指导监督
1. 核心内涵
- 指导 ：通过指引、教导，使处理者明了正确实施路径，减少因错误理解导致的工作不到位。
- 监督 ：施加行政压力督促合法合规，并第一时间发现侵权行为以追究责任。
2. 互动的两种方式
- 非强制性方式 ：以劝告、指引、鼓励等方式引导（如试点先行、示范引领，推广优秀经验）。
- 强制性方式 ：以行政权迫使处理者履行法定义务（如检察院专项监督、市场监管部门专项检查）。
二、接受、处理投诉、举报
接受、处理投诉举报是发现违法线索、解决争议的重要途径。监管部门必须公布联系方式并告知处理结果， 否则构成行政不作为 。
（一）投诉与举报的处理程序差异（以市场监管部门为例）
1. 投诉处理程序
一般采取 调解 方式。收到后 7 个工作日内 决定是否受理；终止调解的，作出决定后 15 个工作日内 告知双方。
2. 举报处理程序
一般予以 核查 。收到线索后 15 个工作日内 予以核查；实名举报的，作出是否立案决定后 5 个工作日内 告知举报人。
（二）制度保障与材料要求
1. 制度保障
我国目前无统一平台（如工信部设互联网信息服务投诉平台），《个人信息保护法》明确由* 国家网信部门统筹完善机制 ，各部门负有 信息公开义务 *（公布联系方式）。
2. 材料要求
通常需提交双方基本信息、具体请求及争议事实。委托他人代为投诉的，须提供授权委托书原件（载明事项、权限和期限并签名）及受托人身份证明。
三、组织个人信息保护情况测评和公布测评结果
（一）个人信息保护情况测评概述
1. 测评对象
各种网站、智能终端的 App、小程序软件开发工具包（SDK）等。
2. 测评的意义（三方视角）
- 对监管部门 ：详细了解收集使用情况，为后续处罚或指导提供依据。
- 对应用程序运营者 ：形成舆论压力敦促合法合规；借助应用商店下架隔离问题应用，或为合规应用建立良好口碑。
- 对信息主体 ：通过公开结果及时了解应用情况，指导其卸载或避开违规应用，增强信息安全自信心。
（二）重要实践发展
1. 2019 年专项治理
四部门联合印发《App 违法违规收集使用个人信息行为认定方法》（如未公开规则、未经同意、违反必要原则等）。
2. 2020 年标准制定
工信部组织制定《APP 用户权益保护测评规范》及《最小必要评估规范》系列标准（涵盖图片、通讯录、人脸、位置等）。
3. 2023 年网信办测试
控制测试环境（同款手机、同版系统、同网络）与测试场景（区分不同用途的单次运行单元），围绕* 系统权限调用、个人信息上传、网络上传流量 *三项内容公布测试报告。
四、调查、处理违法活动
（一）行政调查
1. 调查方式
- 询问 ：处理者或有关人员必须如实回答、协助，不得拒绝阻挠。
- 抽样取证 ：收集证据的常规方法。
- 先行登记保存 ：在证据可能灭失或难以取得时，* 经行政机关负责人批准 *可先行登记保存，必须在 7 日内 作出处理决定（期间当事人不得销毁转移）。
2. 调查程序要求（四大步骤）
- 案源登记 ：对五类线索（检查发现、投诉举报、上下级交办/报请、机关移送、其他途径）及时调查并填写登记表。
- 出示证件 ：执法人员应主动出示；* 不出示的，当事人有权拒绝接受调查 *。
- 制作笔录 ：询问须制作笔录（载明时、地、事），交由被询问人核对并双方签名；拒绝签名的须注明原因。
- 证据确认 ：要求当事人签字/盖章/捺印确认；若拒绝到场或确认，须由 两名执法人员 注明原因，邀请见证人签字，或采用音像记录。
（二）行政处理
1. 调查后的四种处理情形
- 确有应受处罚的违法行为 ：依《个保法》采取责令改正、警告、没收违法所得、暂停终止服务、罚款等。
- 轻微违法依法不予处罚 ：不予行政处罚，但必须充分履行* 指导职能，进行教育 *。
- 违法事实不能成立 ：不予行政处罚。
- 涉嫌犯罪 ：必须移送司法机关。
2. 行政处罚决定书的必备事项（六项要件）
必须盖有决定机关印章，并载明：1) 当事人基本信息；2) 违法事实和证据；3) 处罚种类和依据；4) 履行方式和期限；5) * 申请复议、提起诉讼的途径和期限 *；6) 机关名称和日期。
五、法律、行政法规规定的其他职责
作为兜底条款，《个人信息保护法》第 61 条第 5 项对监管部门的职责授权保持开放性，提供制度接口。
第三节 国家网信部门的统筹协调职责
《个人信息保护法》第 62 条明确了国家网信部门统筹协调有关部门推进个人信息保护工作的五个方面。
一、概述
制度意义与成效 ： 多部法律法规（如《网络安全法》《网络信息内容生态治理规定》《关键信息基础设施安全保护条例》《个人信息保护法》等）均明文确立了网信部门的统筹协调职能。 其主要意义在于：
1. 统一标准尺度
减少各地执法差异，增强法律公信力。
2. 推广有利经验
助力个人信息保护体系完善，从制度上减少侵权案件。
二、国家网信部门统筹协调职责的内容
（一）制定个人信息保护规则、标准
1. 制定一般执行性具体规则、标准
网信部门主要以 * “联合发文” *（如会同工信部、公安部、市场监管总局发布《App 违法违规收集使用个人信息行为认定方法》等）的形式，统筹协调制定义务规范、执法要求、权利保障及流程规范。联合决策的行政规范优先于单一部门规定。
2. 制定专门规则、标准的特定领域
由于以下情形相较于一般个人信息或一般处理活动具有特殊性，极易产生重大影响或引发新挑战，《个保法》明确必须针对其制定* 专门规则和标准 *：
- 敏感个人信息 ：一旦泄露易致人格尊严受损或人身财产安全受危害（如生物识别、医疗、金融、不满 14 周岁未成年人信息等），需实现分级分类保护。
- 小型个人信息处理者 ：与大型互联网平台（头部企业）在实力、处理数量上差异巨大。制定专门规则旨在减轻其负担，促进合理利用与行业“百花齐放”。
- 新技术、新应用（如人脸识别、人工智能） ：收集信息的种类（如生物信息）、速度和数量远超一般应用，易引发过度处理或犯罪。技术迭代快，专门规则能应对新挑战并保持实施的稳定性。
（二）电子身份认证技术与网络身份认证公共服务建设
1. 电子身份认证的三级生态体系
- 法定信任基础级（核心） ：使用国家有权机关签发、具有法定效力的身份凭证（如公安部推行的“网证/CTID”和“公民网络电子身份标识/eID”）。
- 第三方作证级 ：第三方签发，可作为司法采证的电子签名证书等。
- 业务凭证级 ：各业务系统内部签发的身份凭证。
2. 统筹建设网络身份认证公共服务的目的
网民在网络活动中直接使用真实身份信息极易导致个人信息泄露风险。网信部门统筹推进国家网络身份认证公共服务，旨在* 减少网络身份认证中对个人信息的过度采集 *，落实可信身份战略（如深度合成服务规定要求必须基于国家网络身份认证等方式进行真实身份认证，不得向未认证者提供服务）。
（三）个人信息保护社会化服务体系建设
面对日益专业化的合规需求，单一主体无法独立完成，必须依托专业企业与机构。
1. 个人信息保护评估
是按标准进行的合格评定。旨在发现、处置和监控处理过程中对信息主体合法权益造成的不利影响风险。 法定强制评估的两种情形：
- 1. 个人信息安全评估（出境安全评估） ：针对国家机关确需向境外提供信息，以及关键信息基础设施运营者/处理数量达标者向境外提供信息的情形。
- 2. 事前个人信息保护影响评估 ：针对处理敏感个人信息、自动化决策、委托/提供/公开个人信息、向境外提供个人信息及其他有重大影响的活动。评估内容包括处理的合法/正当/必要性、风险及保护措施的匹配性。
2. 个人信息保护认证
实施规则要点：
- 认证依据 ：一般依据《信息安全技术 个人信息安全规范》；跨境处理活动另需符合《个人信息跨境处理活动安全认证规范》。
- 认证模式 ： 技术验证 ＋ 现场审核 ＋ 获证后监督 。
- 证书效期 ：有效期为 * 3 年 *，届满前 6 个月内提出换发委托。
（四）投诉、举报工作机制
1. 制度价值
公众是违法违规行为的直接受害者，离处理者最近。构建该机制可拓展公众参与治理渠道，发现违法线索，弥补监管力量不足，构建 * “社会共治” * 的工作格局（如网信办等四部门设立的“App 个人信息举报”微信公众号）。
2. 推进要求
网信部门需顺畅渠道、加大宣传，确保公众“知道用、敢于用、能够用”。同时，要求企业落实主体责任（如规定深度合成服务提供者必须设置便捷的申诉/投诉/举报入口，公布处理流程与时限）。
第四节 监管部门的履责措施
监管部门在开展个人信息保护职责时，主要采取两类履责措施：一是为了解真实处理活动而采取的 监督检查措施 ；二是在发现较大风险或发生安全事件时采取的 风险处置措施 。
一、个人信息保护监督检查措施
监督检查措施根据功能和性质的不同，分为* 行政检查措施 与 行政强制措施 *两类。
（一）行政检查措施
行政检查措施是监管部门为了查处违法行为，或者收集、保全证据在调查中所采取的行政措施。主要包括以下四种：
1. 询问有关当事人
- 核心要求 ：被调查对象和有关人员必须如实回答、协助配合并及时提供相关材料，不得阻挠调查。
- 程序要点 ：必须制作询问笔录（载明时间、地点、事实经过等）。笔录须交询问对象核对确认并由* 双方签名 ；若拒绝或无法签名， 必须注明原因 *。
2. 查阅、复制有关资料（合同、记录、账簿等）
-
审查资料的范围（书证获取） ：1）合法性依据证明：如知情同意记录、必要性合同等。 2）多方处理协议：如委托处理、共同处理、境外接收标准合同等。 3）合规性记录：如个人行权日志、操作日志、内部管理制度、保护影响评估及合规审计记录等。
-
权力边界与要求 ：1）限制范围：严禁滥用权力，范围仅限于* 与调查有关 的资料，且需履行保密义务。被检查者不得隐匿、转移、销毁或提供虚假资料。 2）复制件的证据转化程序：调取原件确有困难的，由提供方在复制品上注明“此件由 XXX 提供，经核对与原件无异”及出处、日期并签章；调取电子/视听资料备份有困难的，可收集复制件并注明制作方法/时间/人，声音资料必须附文字记录*。
-
实施现场检查 ：
-
检查内容 ：深入相关场地，实地检查法律贯彻落实情况与处理活动的安全性（通过查台账、采数据、看制度）。
-
法律后果 ：被检查者不得拒绝、阻挠，否则可依法给予* 治安管理处罚 ；构成犯罪的追究 刑事责任 *。
4. 检查相关设备、物品
- 检查对象 ：直接体现处理流程、技术的直观载体（如计算机、硬盘、服务器、可移动设备等）。
- 后续转化 ：若在设备物品中发现违法确凿证据，确有必要时，必须及时向主要负责人书面报告并经批准后，转化为查封或扣押措施。
（二）行政强制措施（查封、扣押）
1. 查封、扣押的严密程序要求（五大步骤）
- 内部审批程序 ：实施前必须向本部门主要负责人书面报告并经批准。*紧急情况下可当场采取，但必须在 24 小时内补办批准手续 *；若负责人不批准，应立即解除。
- 现场实施程序 ：必须由* 两名以上 *执法人员实施；出示证件；通知当事人到场；当场告知理由、依据及救济权利；充分听取陈述与申辩；制作并签署现场笔录（不到场或拒签需注明并邀见证人）。
- 文书交付程序 ：必须制作并当场交付查封/扣押决定书和清单（一式两份）。文书必须载明法定事项（含复议与诉讼救济途径）并加盖印章。
- 期限限制 ：法定期限* 最长不得超过 30 日 ；情况复杂的经批准可延长，但 延长期最长不得超过 30 日 *（即绝对上限原则为 60 日，法律/行政法规另有规定除外）。延长决定必须书面告知理由。
- 解除与善后程序 ：一旦查清无违法事实、无关、已处理完毕或期限届满，应当立即解除并退还财物。若保管不易已变卖且价格明显低于市场的，* 应当给予补偿 *。
二、个人信息安全风险处置
（一）个人信息安全风险与处理者的报告义务
针对存在较大风险（自身风险大或权益影响大，如涉百万以上数据、特定群体数据）或已发生安全事件的情况，监管部门可采取* 行政约谈 或 合规审计 *予以处置。
（二）监管部门的特殊处置措施
1. 行政约谈
- 行为性质 ：属于* 非强制性行政指导行为 *。旨在通过教导、警示、告诫，防止违法行为发生或扩大。
- 约谈对象 ：按照法定权限约谈该个人信息处理者的* 法定代表人或者主要负责人 *。
- 适用禁忌 ：必须避免约谈强制化；严格防范约谈过度化，* 绝不能“以谈代罚” * 从而不当豁免处理者的违法责任。
2. 合规审计
由监管部门要求委托专业机构进行的强制合规审计，属于社会第三方审计，具有以下 三大核心功能 ：
- 监督功能 ：揭露个人信息处理活动中存在的违法违规及缺陷疏漏。
- 评价功能 ：对处理者的内部管理制度与操作规程作出客观评价，查找不足，指导整改。
- 鉴证功能 ：确定合规情况的真实性与合法性，并由专业机构依法* 出具合规审计证明文件 *。
第七章 个人信息保护法律责任
第一节 个人信息保护法律责任概述
一、个人信息保护法律责任的概念与类型
1. 法律责任的基本特征
- 法定性 ：由法律明确规定，行为人仅对违法行为承担法定相应责任。
- 强制性 ：由国家强制力保障，只能由国家机关依照法定权限和程序追究。
- 否定性 ：意味着国家对违法行为的否定性评价和谴责。
（一）个人信息保护行政法律责任
1. 个人信息保护行政责任的核心特点
- 区分主体规定不同责任 ：
- 一般个人信息处理者：适用《个人信息保护法》第 66 条的行政处罚。
- 特殊个人信息处理者（国家机关）：适用第 68 条，采取“责令改正”“处分”等特殊措施。
- 实施分级处罚制度（根据违法情节） ：
- 一般情节：首选“责令改正、警告、没收违法所得、责令 App 暂停或终止服务”； 拒不改正时 ，才“并处 100 万元以下罚款”，并对直接负责的主管及责任人员处 1 万元以上 10 万元以下罚款。
- 情节严重：处 5000 万元以下或上一年度营业额 5%以下罚款；对直接负责的主管及责任人员处 10 万元以上 100 万元以下罚款。
- 实行单位与个人“双罚制” ：
- 处罚对象：不仅处罚作为处理者的单位，还同时处罚直接负责的主管人员和其他直接责任人员。
- 制度背景：《行政处罚法》未作一般规定，目前主要适用于生态环境、食品药品等特定领域。在个人信息领域引入双罚制可强化威慑力。
- 综合适用多种行政处罚方式 ：
- 常规方式：责令改正、警告、没收违法所得、罚款、责令停业整顿、吊销营业执照/业务许可。
- 新增特定方式：针对 App 违法行为，增加“责令暂停或者终止提供服务”，契合我国加强 App 监管的政策导向。
（二）个人信息保护民事法律责任
1. 民事法律责任的法律适用规则
- 《民法典》依据 ：第 111 条与第 1034 条将个人信息界定为民事权益；根据第 1165~1167 条，因过错侵害权益或危及人身/财产安全的，应承担损害赔偿或停止侵害、排除妨碍、消除危险等侵权责任。
- 《个人信息保护法》依据 ：设有两个专条（款）针对违法处理行为作出专门规定。
（三）个人信息保护刑事法律责任
1. 常见的个人信息保护相关罪名
- 侵犯公民个人信息罪 ：《刑法》第 253 条之一（由《刑法修正案（九）》整合出售、非法提供、非法获取行为而来）。
- 窃取、收买、非法提供信用卡信息罪 ：《刑法》第 177 条之一第 2 款（涉及窃取、收买或非法提供信用卡信息资料）。
- 非法获取计算机信息系统数据罪 ：《刑法》第 285 条第 2 款（涉及非法侵入或采用技术手段获取承载个人信息的数据）。
- 拒不履行信息网络安全管理义务罪 ：《刑法》第 286 条之一（网络服务提供者经责令拒不改正，致使违法信息大量传播、用户信息泄露造成严重后果、刑事证据灭失等严重情节）。
（四）个人信息保护法律责任之间的关系
1. 三大法律责任的核心区别
- 责任承担方式不同 ：
- 民事：停止侵害、返还财产、恢复原状、赔偿损失、消除影响、赔礼道歉等（《民法典》第 179 条）。
- 行政：行政处罚（警告、罚款、没收等）和行政处分。
- 刑事：主刑（管制、拘役、有期、无期、死刑）和附加刑（罚金、剥夺政治权利、没收财产）。
- 适用标准和法律依据不同 ：
- 民事：《个人信息保护法》第 69 条。
- 行政：《个人信息保护法》第 66 条、第 68 条。
- 刑事：《个人信息保护法》第 71 条（引致《刑法》）。
二、个人信息保护公益诉讼
根据《个人信息保护法》第 70 条，提起个人信息保护公益诉讼需满足特定的起诉条件与适格主体要求。
（一）提起个人信息保护公益诉讼的条件
1. 违法处理个人信息
在个人信息处理的全流程（事前、事中、事后）中违反相关法律法规原则与规则：
- 事前环节 ：未取得各类同意（一般、单独、书面）；未同意即拒绝提供服务（非必需情形下）；未依法告知；未开展影响评估；大型平台未制定规则等。
- 事中环节 ：违规自动化决策；违反信息质量原则侵害更正/补充权；未取得单独同意分享信息；大型平台未履行特别义务；未履行安全保障义务等。
- 事后环节 ：超期存储；未指定负责人；未合规审计；符合条件未删除；未响应权利请求等。
2. 侵害众多个人的信息权益
- 【补充】“众多”的界定标准 ：实践中多由法院于个案中通过法律解释予以具体化。
（二）提起个人信息保护公益诉讼的适格主体
1. 人民检察院
- 诉讼定位 ：作为国家法律监督机关，有权对损害社会公共利益的行为提起诉讼。
- 诉讼优势 ：能快速利用在办理“侵犯公民个人信息罪”等刑事案件中收集的线索，实现对受害人的及时赔偿（尤其在技术隐蔽导致受害人不知情时）。
2. 法律规定的消费者组织
- 范围界定 ：依据《消费者权益保护法》第 47 条，特指 中国消费者协会 以及 在省、自治区、直辖市设立的消费者协会 。
- 授权合理性 ：
- 法定职责所在（保护消费者信息本属其职责）。
- 具备诉讼经验（现有单行法已认可其部分起诉权，且已有相关司法实践）。
- 体系协调（与消法中公益诉讼规则完美衔接）。
3. 由国家网信部门确定的组织
- 诉讼优势 ：社会组织执行成本低于公权监管，执行力度强于私人维权，符合“功能适当原则”。
第二节 行政法律责任
一、违法个人信息处理者的行政法律责任
《个人信息保护法》第 66 条延续了根据违法行为情节轻重实施 分级处罚 的制度，体现了既保护权益、规范活动，又促进信息合理利用的宽严相济目的。
（一）一般违法个人信息处理行为的行政法律责任
1. 行为表现与处罚主体
- 行为表现 ：违反《个人信息保护法》规定处理个人信息，或未履行该法规定的保护义务（涵盖事前、事中、事后各流程的违规行为）。
- 处罚主体 ：履行个人信息保护职责的部门，主要包括 国家网信部门 、 国务院有关部门 及 县级以上地方人民政府有关部门 。
2. 行政处罚措施（实施“双罚制”）
- 单位责任（常规措施与罚款） ：
- 责令改正：行政命令，要求停止纠正违法行为以恢复原状。
- 警告（申诫罚/精神罚）：谴责和告诫，针对情节轻微、未造成实际危害后果者，不涉及人身和财产。
- 没收违法所得：将非法利益收归国有（国库、拍卖、销毁）。
- 责令暂停或终止提供服务：要求违法 App 等暂时或永久停止服务（如注销 App）。
- 罚款（财产罚）：前提是 “拒不改正” 。数额为 “100 万元以下” ，结合性质、情节及危害程度确定。
- 个人责任（特定主体罚款） ： 7. 处罚对象：对违法行为起支配性或决定性作用的 直接负责的主管人员和其他直接责任人员 （通常包括法定代表人、实控人、高管等）。 8. 罚款数额： “1 万元以上 10 万元以下” 。
（二）情节严重的违法个人信息处理行为的行政法律责任
1. 处罚主体与管辖权
- 行政主体级别 ：必须是 省级以上 履行个人信息保护职责的部门。
- 联合执法机制 ：因涉及“通报吊销业务许可/营业执照”，执法主体本身并非必须是发证的主管部门。通常实行以 网信部门为牵头单位 、 其他部门（如市场监管）共同参与 的联合执法机制。
2. 行政处罚措施加重（单位责任）
除责令改正、没收违法所得外，新增或升级以下重罚措施：
- 责令暂停相关业务或停业整顿（行为罚） ：要求在一定期限内停止营业、整顿治理。
- 通报有关主管部门吊销相关业务许可或营业执照（资格能力罚/行为罚） ：彻底撤销原有许可，剥夺从事特定活动的资格。
- 高额罚款 ：数额跃升至 “5000 万元以下” 或者 “上一年度营业额 5%以下” 。
3. 行政处罚措施加重（个人责任）
- 高额罚款 ：针对直接负责的主管人员和其他直接责任人员，罚款额度提升为 “10 万元以上 100 万元以下” 。
- 从业禁止（新增） ：可决定禁止其在一定期限内担任相关企业的董事、监事、高级管理人员和 个人信息保护负责人 。
（三）典型案例：滴滴公司“天价”行政处罚案
1. 案件事实与性质
滴滴公司存在 16 项违法收集、过度收集、超权限处理等违法事实，涉及信息百亿计（含人脸等敏感信息逾亿条），且违法行为长达 7 年，主观系故意，甚至涉及将行程信息运往境外损害国家安全利益。
2. 处罚结果与示范效应
- 单位顶格处罚 ：被处以 80.26 亿元天价罚款（约等于上一年度营业额的 5%）。
- 个人顶格处罚 ：主要负责人分别被处以 100 万元顶格罚款。
- 法律意义 ：完美适用了《个人信息保护法》“情节严重”的高额罚款条款及 行政处罚双罚制 ，体现了对严重危害行为的雷霆威慑。
二、国家机关或履行职责部门工作人员的行政法律责任
对国家机关违法行为，其直接责任人员应依法给予处分；对监管部门工作人员的渎职行为，未达刑事标准的，亦给予处分。
（一）国家机关不履行义务的行政法律责任
根据《个人信息保护法》规定，国家机关处理个人信息不得超出履行法定职责所必需的范围和限度。
1. 责令机关改正
- 作为违法 ：超越权限处理的，上级机关或监管部门责令其停止违法行为。
- 不作为违法 ：未采取安全保护措施的，责令其主动作为履行义务。
2. 对直接负责人员给予处分
- 责任归属 ：基于行政机关首长负责制，追究直接负责的主管人员和具体违法工作人员的责任。
- 处分种类与期间 ：依据《公务员法》等规定，分为警告（6 个月）、记过（12 个月）、记大过（18 个月）、降级/撤职（24 个月）、开除。
（二）履行职责部门工作人员渎职的行政法律责任
履行个人信息保护职责的部门工作人员实施以下三种行为，尚不构成《刑法》“渎职罪”（未致使国家和人民利益遭受重大损失）的，依法给予处分：
1. 玩忽职守
严重不负责，不履行、不正确履行或放弃履行职责（含作为与不作为）。
2. 滥用职权
超越职权、玩弄职权、任意放弃履职、以权谋私，违法决定或处理其无权处理的事项。
3. 徇私舞弊
为徇私情私利，故意违背事实和法律，伪造材料、隐瞒弄虚作假。
第三节 民事法律责任
一、个人信息保护的民事法律责任概述
（一）个人信息保护领域的民事法律责任
《个人信息保护法》第 69 条规定了侵害个人信息权益的民事损害赔偿规则。该条以民事法律责任的形式为自然人提供了个人信息权利救济的渠道。
（二）对《个人信息保护法》第 69 条的法教义学解释
1. 适用主体：个人信息处理者
本规则仅适用于 个人信息处理者 侵害自然人个人信息权益的侵权行为。 个人信息处理者的法律特征包括：
- 个人信息处理活动的主体。
- 自主决定处理目的、处理方式的主体。
- 对个人信息权益人负有特别保护义务的主体。
- 民事身份为自然人、法人或非法人组织。
3. 请求权基础：“侵害个人信息权益”
- 人格权请求权（未造成实际损害时） ：作为绝对权，当人格权益受妨害或有妨害之虞时，权利人有权请求恢复圆满状态（涵盖知情权、更正权、删除权等）。
- 侵权请求权（造成实际损害时） ：适用过错推定原则要求赔偿。
（三）《个人信息保护法》第 69 条与其他条款的关系
1. 与第 20 条的关系（共同处理的连带责任）
两个以上的处理者共同决定目的和方式，无论内部如何约定，只要侵害权益即构成共同侵权，应当向信息主体承担 连带责任 。
2. 与第 22 条的关系（主体变更的责任承继）
因合并、分立导致转移时，若未履行告知或重新取得同意义务而侵权。依《民法典》， 合并的 由合并后主体承担； 分立的 由分立后主体承担连带责任（另有约定除外）。
3. 与第 72 条的关系（个人/家庭事务豁免）
自然人因个人或家庭事务处理个人信息侵害权益的， 排斥适用 第 69 条的过错推定，而应适用《民法典》第 1165 条第 1 款的 一般过错责任原则 。
二、个人信息侵权的损害赔偿责任
（一）构成要件
1. 侵权行为
实践中，行为通常面向不特定主体且运用技术手段。典型行为包括：
- 不当收集 ：不符合“合法、正当、必要”原则及目的原则（如 App 过度收集、超出事前目的使用人脸特征）。
- 泄露个人信息 ：较为严重的侵权，常涉及私密信息与隐私权（如网购平台擅自将订单编号告知被举报人）。
- 不当使用/分享 ：未经同意另作他用、扩大分享范围（如擅用他人身份信息报税、跨平台同步线下购物记录）。
2. 主观过错（过错推定）
- 推定逻辑 ：除非处理者能举证自己已严格依法履行保护义务（如遇黑客攻击时，证明已采取法定防范及事后补救/通知措施），否则即推定其具有过错。
3. 损害
- 损害的形态 ：
- 精神利益损害（人格权益损害）：因知情权、决定权、删除权等受侵害带来的精神利益损害。
- 财产利益损害：因个人信息被擅自使用而造成的财产利益损失（个人信息具有商业许可使用的价值）。
损害的确定性 ：损害必须是 客观存在 的不利后果。个人信息损害 不涵盖纯粹的风险 （风险应对由公法调整）。
- 责任区分 ：若仅有违法行为而无实际损害后果，只能行使“人格权请求权”（如停止侵害），不能主张侵权损害赔偿。
4. 因果关系
- 因果关系的判断标准 ：适用 相当因果关系规则 （即该违法行为客观上能够引起该种损害后果）。
- 举证责任的缓和 ：考虑到信息主体举证能力弱，司法实践（如申某诉携程/支付宝案）认为，只要受害人证明“提供信息后短时间内发生泄露”，即完成初步举证，举证责任转移至处理者。
- 因果关系的中断（第三人介入） ：若损害由第三人直接造成，处理者仍需按照自身的原因力大小及过错程度承担相应的赔偿责任。
（二）数额确定标准
1. 基本计算依据
并列适用“ 被侵权人受到的损失 ”或者“ 侵权人获得的利益 ”；难以确定的，根据实际情况酌定。
2. 财产损失的扩展（维权合理开支）
被侵权人为制止侵权支付的合理开支（如调查取证费、符合规定的律师费）可计入财产损失。
3. 法定酌定上限
损失和获利均难以确定时，法院可根据案情在 50 万元以下 范围内酌定赔偿数额。
（三）精神损害赔偿
1. 确定方式
实际损害赔偿、侵权人获利赔偿、法院酌定赔偿（实践中绝大多数由法院综合过错程度、侵权后果等要素 酌定 ）。
三、其他民事责任方式的适用与责任竞合
1. 其他侵权责任承担方式
除损害赔偿外，被侵权人还可依据《民法典》主张：
1. 停止侵害、排除妨碍、消除危险
2. 消除影响、恢复名誉、赔礼道歉（可单独或合并适用）
2. 侵权责任与违约责任的竞合
- 产生基础 ：自然人与处理者之间存在“合同”关系（如用户注册协议、隐私政策、补充协议等）。
- 责任选择 ：自然人可主张处理者违反“信息服务合同约定”，要求承担违约责任。
- 举证优势 ：主张违约责任时，自然人 仅需证明对方违反合同约定即可，不涉及主观过错的证明 。
第四节 刑事法律责任
一、个人信息保护的刑法规范体系
（一）个人信息保护刑事立法的历史沿革
随着个人信息承载权益的扩充，刑法保护策略逐渐从 间接保护模式 转变为 直接保护模式 ，保护范围不断扩大。
1. 《刑法修正案（七）》（2009 年）
- 历史意义：首次将侵犯公民个人信息的行为设立独立罪名，实现正式保护。
- 局限性：规制主体狭窄（仅限国家机关或金融、电信、医疗等特定单位工作人员）；规制行为狭窄（仅限“出售、非法提供、非法获取”）。
2. 《刑法修正案（九）》（2015 年）
- 罪名整合：整合为“ 侵犯公民个人信息罪 ”。
- 主体扩充：扩充为 一般主体 ，不再局限特定行业。
- 加重情节：将基于服务或履职收集的信息非法提供/出售构成加重情节，最高量刑升至 7 年。
- 新增罪名：新增“ 拒不履行信息网络安全管理义务罪 ”，填补网络服务提供者不作为致信息泄露的规制空白。
（二）当前的个人信息保护刑法规范
目前构成了以两个核心罪名为主干，多个附带罪名为补充的刑法规范体系：
1. 核心罪名
- 侵犯公民个人信息罪 （《刑法》第 253 条之一）：规制非法获取、出售和提供行为。
- 拒不履行信息网络安全管理义务罪 （《刑法》第 286 条之一）：规制网络服务提供者拒不改正致泄露严重后果的行为。
2. 相关附带保护罪名
窃取、收买、非法提供信用卡信息罪；使用虚假身份证件、盗用身份证件罪等。 3. > [!warning] 易错/注意/例外/理论争议
当前司法实践的偏差 ：实践中仍存在判处刑罚畸轻、未能准确识别个人信息敏感程度的问题。未来应注重刑法与民法、行政法保护体系的协同衔接。
二、侵犯公民个人信息罪的构成要件
（一）保护对象
我国刑事管辖权不限于保护中国公民的个人信息。在 中国领域内 实施的侵犯外国公民个人信息的行为，同样适用本罪追究刑责。
（二）行为表现
本罪实质上侵犯了公民对其个人信息的 决定权与处理权 。
1. 向他人出售或者提供公民个人信息
- 具体表现：向特定人提供；网络发布；未经被收集者同意向他人提供合法收集的信息；履职/服务中收集等。
- 【典型指导案例 194 号】：购买微信账号后非法制作带个人信息的账号出售；或未经同意，获取 已公开 的个人信息后改变其公开的范围、目的、用途进行非法利用，均构成本罪。
2. 窃取
- 核心特征： 秘密获取 （违背意愿、未经同意/不知情）。
- 认定：只要行为人自以为不被发觉即属秘密，客观获取手段是否公然不影响定性。
3. 以其他方法非法获取
- 具体表现：违反国家有关规定，通过 购买、收受、交换 等方式获取，或在履职/服务过程中违规收集。
（三）情节要求
1. 行为造成“情节严重”的后果（入罪标准）
- 特定类型与目的 ：出售或提供 行踪轨迹信息 被他人 用于犯罪 （不论数量与主观是否明知）。
- 主观恶性 ：知道或应当知道他人利用信息实施犯罪，仍出售或提供。
- 信息类型和数量要求 ：
- 高度敏感信息（行踪轨迹、通信内容、征信、财产）： 50 条以上 。
- 一般敏感信息（住宿、通信记录、健康生理、交易等可能影响人身财产安全的）： 500 条以上 。
- 其他普通信息： 5000 条以上 。
- 特殊规则：按比例合计达到标准亦可； 履职/服务过程中违规获取并出售/提供的，数量标准减半 ；数量计算应去重、去假。
- 违法所得数额 ：
- 一般情况/履职提供：违法所得 5000 元以上 。
- 【例外】合法经营非法购买：为合法经营活动非法购买、收受一般个人信息，利用其获利需达到 5 万元以上 。
- 再犯情形 ：曾因侵犯公民个人信息受过 刑事处罚 或 2 年内受过行政处罚 ，又实施非法获取、出售、提供、购买、收受行为的（不限制数量/数额）。
- 兜底情形 ：其他情节严重的情形。
2. 行为造成“情节特别严重”的后果（加重处罚标准）
- 人身损害 ：造成被害人死亡、重伤、精神失常或被绑架。
- 重大影响 ：造成重大经济损失或恶劣社会影响（如群体恐慌）。
- 数量/数额翻倍 ：达到前述“情节严重”中第 3-6 项（数量或数额）规定标准的 10 倍以上 。
- 兜底情形 ：其他。
（四）主观故意
主观上必须具有侵犯个人信息的犯罪故意，必须意识到信息的存在并有意识地实施行为。 过失不构成本罪 。
（五）单位也可成为本罪的犯罪主体
实行 双罚制 。单位实施达到“情节严重”标准的，对直接负责的主管人员和其他直接责任人员定罪处罚，并对单位判处罚金。
（六）明确侵犯公民个人信息罪的前置法规定
（七）未取得个人信息所有者（个人信息主体）的同意
1. 法益属性
本罪实质保护的是公民对个人信息的 信息自决权 。
2. 出罪路径
若行为人获取、出售/提供信息的行为已获得信息主体同意，且未违反国家规定，则不构罪（需行为人提供已获同意的证明）。
三、拒不履行信息网络安全管理义务罪（第二项情形）的构成要件
（一）主体身份：“网络服务提供者”
本罪为特殊主体犯罪，特定为三类网络服务提供者：
1. 技术接入与存储服务
提供网络接入、域名解析、计算、存储、传输服务。
2. 应用内容服务
提供信息发布、搜索、通讯、支付、网约、网购、游戏、直播、广告、应用商店等。
3. 公共服务
提供电子政务、通信、能源、交通、水利、金融、教育、医疗等。
（二）前置规范：“信息网络安全管理义务”
（三）行为表现：“责令改正而拒不改正”
1. 行政程序前置化
本罪以行政违法且拒不履行为前置要件。
2. 责令改正的性质与形式
- “责令改正”属于 行政措施 ，不属于行政处罚。
- 必须由网信、电信、公安等监管部门以 书面形式（如责令整改通知书） 作出，口头责令无效。
（四）后果要求：“致使用户信息泄露，造成严重后果”
1. 严重后果的数量标准（达到侵权罪的 10 倍）
- 敏感信息（行踪、通信、征信、财产）： 500 条以上 。
- 次敏感信息（住宿、健康、交易等）： 5000 条以上 。
- 一般信息： 5 万条以上 。
- 可按比例折算合计。
2. 严重后果的其他情形
- 造成他人死亡、重伤、精神失常或被绑架。
- 造成重大经济损失。
- 严重扰乱社会秩序或其他。
4. 【典型案例】
李某全案中，某通信技术公司高管在多次被通信管理局、工信部罚款并 书面责令改正 后，仍无视实名制规定，致使回收电话卡致大量用户信息泄露。因满足“网络服务提供管理者+经书面责令拒不改正+造成严重后果”，被以该罪判处刑罚。