《中华人民共和国个人信息保护法》（简称个人信息保护法、《个保法》，业内也常按其英文缩写称“PIPL”）是我国个人信息保护领域的基础性、专门性法律，2021年8月20日经第十三届全国人民代表大会常务委员会第三十次会议通过，自2021年11月1日起施行，现行有效，共8章74条。它以“告知—同意”为核心搭建了一整套个人信息处理规则：一般个人信息处理要有第十三条列举的合法性基础，人脸、声纹、医疗健康、行踪轨迹等敏感个人信息还要单独同意加必要性论证，自动化决策不得搞“大数据杀熟”，数据跨境须走安全评估、认证或标准合同，违法最高可处五千万元或者上一年度营业额百分之五的罚款。它与《数据安全法》、《网络安全法》共同构成我国数据领域的三部基础性法律。对做大模型、AI应用的团队而言，从公开网络抓语料、清洗标注数据到训练集里夹带的人脸声纹信息，只要触碰自然人的个人信息，这部法就是绕不开的合规底座——《网络数据安全管理条例》已明确把“利用个人信息进行自动化决策”“训练数据含个人信息”等场景纳入配套监管。
- 发布机关：全国人民代表大会常务委员会
- 文号：中华人民共和国主席令 第九十一号
- 公布日期：2021年8月20日
- 施行日期：2021年11月1日
- 官方原文：中国网信网
解读要点
- 处理个人信息必须有合法性基础（第十三条）：告知同意是主线，但“为订立、履行合同所必需”“为履行法定职责或义务所必需”“处理已合法公开的信息”等六种情形可以不经同意；不能笼统地用一份隐私政策一揽子勾选糊弄过去——告知不清晰、超范围处理的，“同意”不产生法律效力（司法已有生效判决确认）。
- 敏感个人信息处理门槛显著抬高（第二十八至三十二条）：生物识别（人脸、指纹、声纹）、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹，以及不满十四周岁未成年人的个人信息，须有特定目的和充分必要性、采取严格保护措施，还要取得个人的单独同意，处理不满十四周岁未成年人信息须经监护人同意并制定专门规则。
- 自动化决策不得搞差别待遇（第二十四条）：利用个人信息自动化决策要保证透明度和结果公平公正，交易价格等条件上不得实行不合理差别待遇（“大数据杀熟”入法）；信息推送、商业营销要同时提供不针对个人特征的选项或便捷的拒绝方式；对个人权益有重大影响的自动化决定，个人有权要求说明并拒绝。
- 数据跨境提供设三条合规通道（第三十八至四十一条）：确需向境外提供个人信息的，须满足国家网信部门组织的安全评估、专业机构个人信息保护认证、按标准合同与境外接收方订立合同三者之一，并单独告知、取得单独同意；关键信息基础设施运营者和达到规定数量的处理者应当境内存储，出境须过安全评估。
- 处理者义务体系化（第五十一、五十二、五十四至五十八条）：内部管理制度、分类管理、加密去标识化、指定个人信息保护负责人、定期合规审计、事前个人信息保护影响评估、泄露通知——大型互联网平台（用户数量巨大、业务类型复杂）还要履行第五十八条的“守门人”义务，成立外部成员为主的独立监督机构、发布社会责任报告。
- 法律责任重、救济渠道全（第六十六至七十一条）：一般违法处一百万元以下罚款，情节严重的由省级以上部门处五千万元以下或者上一年度营业额百分之五以下罚款、直接责任人可被禁业；侵权采过错推定（处理者不能自证无过错即担责）；侵害众多个人权益的，检察院、消费者组织等可提起公益诉讼；构成犯罪的衔接侵犯公民个人信息罪。本页在相关条文下引用7个近年案例，含多个人民法院案例库入库案例。
法规全文
第一章 总则
第一条 为了保护个人信息权益，规范个人信息处理活动，促进个人信息合理利用，根据宪法，制定本法。
第二条 自然人的个人信息受法律保护，任何组织、个人不得侵害自然人的个人信息权益。
第三条 在中华人民共和国境内处理自然人个人信息的活动，适用本法。
在中华人民共和国境外处理中华人民共和国境内自然人个人信息的活动，有下列情形之一的，也适用本法：
（一）以向境内自然人提供产品或者服务为目的；
（二）分析、评估境内自然人的行为；
（三）法律、行政法规规定的其他情形。
条款解读：本条第二款是个保法的“长臂管辖”——判断的不是处理者注册在哪儿，而是处理行为是否针对境内自然人。境外主体只要以向境内提供产品服务为目的，或者分析评估境内自然人的行为，同样要守这部法。
对做AI产品的团队有直接意义：境外部署的模型、SaaS服务只要面向中国用户开放、采集或分析中国用户数据，就落入个保法；第五十三条据此要求这类境外处理者在境内设立专门机构或指定代表。想靠“服务器在国外”规避个保法，行不通。
第四条 个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。
个人信息的处理包括个人信息的收集、存储、使用、加工、传输、提供、公开、删除等。
条款解读：这是判断“数据要不要合规”的入口条款。核心在“已识别或者可识别”——单看无法识别到人、但结合其他信息就能对上号的，仍是个人信息（司法实践中手机号加短信验证码、日志加账号都被认定为个人信息）。
匿名化处理后的信息（经处理无法识别特定自然人且不能复原，见第七十三条）被排除在外，但“去标识化”不等于“匿名化”——去标识化只是借助额外信息才无法识别，仍属个人信息、仍受本法约束。做AI训练数据清洗时，把“打了码就不算个人信息”当护身符是危险的：真正脱离本法的门槛是不可复原的匿名化，而不是简单的去标识化。
第五条 处理个人信息应当遵循合法、正当、必要和诚信原则，不得通过误导、欺诈、胁迫等方式处理个人信息。
第六条 处理个人信息应当具有明确、合理的目的，并应当与处理目的直接相关，采取对个人权益影响最小的方式。
收集个人信息，应当限于实现处理目的的最小范围，不得过度收集个人信息。
第七条 处理个人信息应当遵循公开、透明原则，公开个人信息处理规则，明示处理的目的、方式和范围。
第八条 处理个人信息应当保证个人信息的质量，避免因个人信息不准确、不完整对个人权益造成不利影响。
第九条 个人信息处理者应当对其个人信息处理活动负责，并采取必要措施保障所处理的个人信息的安全。
第十条 任何组织、个人不得非法收集、使用、加工、传输他人个人信息，不得非法买卖、提供或者公开他人个人信息；不得从事危害国家安全、公共利益的个人信息处理活动。
案例参考：秦某乐等人侵犯公民个人信息案（（2021）京0105刑初2759号，北京市朝阳区人民法院，人民法院案例库入库编号2023-04-1-207-001）——航空客服代表秦某乐伙同前呼叫中心员工李某东，利用查询航班信息的工作便利，非法获取并出售他人航班行踪轨迹信息、身份证件等公民个人信息数千条，非法获利数万元。法院以侵犯公民个人信息罪判处秦某乐、李某东各有期徒刑三年、并处罚金，情节较轻的两名购买者判处缓刑。
本条的“非法收集、买卖个人信息”禁令在实践中最常落到侵犯公民个人信息罪。本案还确立了刑民衔接的关键规则：追缴违法所得（刑事）和公益损害赔偿（民事）可以并处，公益损害赔偿数额在实际损失难以查清时可按侵权人获利认定——违法处理个人信息，刑事罚金之外还要另掏一笔公益赔偿。
第十一条 国家建立健全个人信息保护制度，预防和惩治侵害个人信息权益的行为，加强个人信息保护宣传教育，推动形成政府、企业、相关社会组织、公众共同参与个人信息保护的良好环境。
第十二条 国家积极参与个人信息保护国际规则的制定，促进个人信息保护方面的国际交流与合作，推动与其他国家、地区、国际组织之间的个人信息保护规则、标准等互认。
第二章 个人信息处理规则
第一节 一般规定
第十三条 符合下列情形之一的，个人信息处理者方可处理个人信息：
（一）取得个人的同意；
（二）为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需；
（三）为履行法定职责或者法定义务所必需；
（四）为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需；
（五）为公共利益实施新闻报道、舆论监督等行为，在合理的范围内处理个人信息；
（六）依照本法规定在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息；
（七）法律、行政法规规定的其他情形。
依照本法其他有关规定，处理个人信息应当取得个人同意，但是有前款第二项至第七项规定情形的，不需取得个人同意。
条款解读：本条是整部法的枢纽——处理个人信息不是只有“同意”一条路，而是七项合法性基础，符合其一即可。这一点在合规实务中经常被误解：不少企业以为只要用户点了“同意”就万事大吉，反过来又担心没拿到同意就寸步难行。
关键是识别自己落在哪一项。为履行与用户的合同所必需（第二项）、为履行法定义务所必需（第三项）、处理已合法公开的信息（第六项）等情形，本身不需要另行取得同意；但“必需”是客观标准，要按合同目的、最小必要来判断，超出必要的部分仍要回到同意路径。AI训练场景里，抓取“已合法公开”的网络数据可以援引第六项，但一旦对个人权益有重大影响，第二十七条要求仍需取得同意。
案例参考：左某诉爱某商务咨询（上海）有限公司、雅某公司个人信息保护纠纷案（（2023）粤01民终33217号，广东省广州市中级人民法院，人民法院案例库入库编号2025-07-2-008-001）——用户左某通过跨国酒店集团APP预订境外酒店时点击勾选了《客户个人数据保护章程》，事后发现其信息被跨境共享至多国主体。法院认定：APP的一揽子笼统告知界面，用户的点击勾选不必然产生“个人同意”的法律效力；章程对境外接收主体范围表述不清、不符合第七条、第十七条的公开透明和告知规则，处理者未取得合法性基础；即便主张“履行合同所必需”，向美国、爱尔兰主体基于营销目的的信息传输也超出履行合同必要，仍构成侵害。终审判决赔礼道歉并赔偿损失20000元。
本条第一项的“同意”不是形式上勾了个框就成立——告知不清晰、超范围处理，同意就是无效的。想援引第二项“履行合同所必需”豁免同意，也要经得起“客观必需+最小必要”的检验，营销共享几乎注定不在“合同必需”之内。
第十四条 基于个人同意处理个人信息的，该同意应当由个人在充分知情的前提下自愿、明确作出。法律、行政法规规定处理个人信息应当取得个人单独同意或者书面同意的，从其规定。
个人信息的处理目的、处理方式和处理的个人信息种类发生变更的，应当重新取得个人同意。
第十五条 基于个人同意处理个人信息的，个人有权撤回其同意。个人信息处理者应当提供便捷的撤回同意的方式。
个人撤回同意，不影响撤回前基于个人同意已进行的个人信息处理活动的效力。
第十六条 个人信息处理者不得以个人不同意处理其个人信息或者撤回同意为由，拒绝提供产品或者服务；处理个人信息属于提供产品或者服务所必需的除外。
第十七条 个人信息处理者在处理个人信息前，应当以显著方式、清晰易懂的语言真实、准确、完整地向个人告知下列事项：
（一）个人信息处理者的名称或者姓名和联系方式；
（二）个人信息的处理目的、处理方式，处理的个人信息种类、保存期限；
（三）个人行使本法规定权利的方式和程序；
（四）法律、行政法规规定应当告知的其他事项。
前款规定事项发生变更的，应当将变更部分告知个人。
个人信息处理者通过制定个人信息处理规则的方式告知第一款规定事项的，处理规则应当公开，并且便于查阅和保存。
第十八条 个人信息处理者处理个人信息，有法律、行政法规规定应当保密或者不需要告知的情形的，可以不向个人告知前条第一款规定的事项。
紧急情况下为保护自然人的生命健康和财产安全无法及时向个人告知的，个人信息处理者应当在紧急情况消除后及时告知。
第十九条 除法律、行政法规另有规定外，个人信息的保存期限应当为实现处理目的所必要的最短时间。
第二十条 两个以上的个人信息处理者共同决定个人信息的处理目的和处理方式的，应当约定各自的权利和义务。但是，该约定不影响个人向其中任何一个个人信息处理者要求行使本法规定的权利。
个人信息处理者共同处理个人信息，侵害个人信息权益造成损害的，应当依法承担连带责任。
第二十一条 个人信息处理者委托处理个人信息的，应当与受托人约定委托处理的目的、期限、处理方式、个人信息的种类、保护措施以及双方的权利和义务等，并对受托人的个人信息处理活动进行监督。
受托人应当按照约定处理个人信息，不得超出约定的处理目的、处理方式等处理个人信息；委托合同不生效、无效、被撤销或者终止的，受托人应当将个人信息返还个人信息处理者或者予以删除，不得保留。
未经个人信息处理者同意，受托人不得转委托他人处理个人信息。
条款解读：本条管的是委托处理（受托方按处理者的指令代为处理，如云服务、数据标注外包、模型训练外包）。委托要有书面约定、受托人不得超范围、合同终止要返还或删除、未经同意不得转委托——这几条是AI数据外包合规的硬约束。
实操上，把数据交给外部团队做清洗、标注、训练时，至少要落实四点：
- 签订数据处理协议，写明处理目的、期限、方式、信息种类和保护措施，别只签一份笼统的技术服务合同。
- 明确禁止受托人超出约定目的自用数据（例如拿你的语料去训练它自己的模型）。
- 约定合同终止时数据的返还或删除义务，并保留可核验的删除凭据。
- 事前明确禁止或严格限制转委托，防止数据在你不知情的下游链条里被层层转手。
第二十二条 个人信息处理者因合并、分立、解散、被宣告破产等原因需要转移个人信息的，应当向个人告知接收方的名称或者姓名和联系方式。接收方应当继续履行个人信息处理者的义务。接收方变更原先的处理目的、处理方式的，应当依照本法规定重新取得个人同意。
第二十三条 个人信息处理者向其他个人信息处理者提供其处理的个人信息的，应当向个人告知接收方的名称或者姓名、联系方式、处理目的、处理方式和个人信息的种类，并取得个人的单独同意。接收方应当在上述处理目的、处理方式和个人信息的种类等范围内处理个人信息。接收方变更原先的处理目的、处理方式的，应当依照本法规定重新取得个人同意。
案例参考：张某与上海某公司隐私权、个人信息保护纠纷案（（2025）沪0151民初15491号，上海市崇明区人民法院）——用户张某注册某会员时授权关联公司采集并向第三方共享其信息，此后信息经多家公司层层委托转手，最终一家短信服务公司向其发送金融贷款营销短信。法院认定：张某注册时的授权只及于最初的关联公司，被告未能证明张某同意本案被告使用其信息或向其发送营销短信，据第二十三条“取得个人单独同意”的要求，被告保留信息并发送短信的行为侵害个人信息权益，判决删除全部个人信息并赔偿精神损失。
本条要求向第三方提供个人信息须“单独同意”且接收方不得超范围处理——一次注册时的概括授权，撑不起后续在多家企业间的层层转售。个人信息在业务链条上每流转一手，同意链就要能穿透到这一手，断一环即侵权。
第二十四条 个人信息处理者利用个人信息进行自动化决策，应当保证决策的透明度和结果公平、公正，不得对个人在交易价格等交易条件上实行不合理的差别待遇。
通过自动化决策方式向个人进行信息推送、商业营销，应当同时提供不针对其个人特征的选项，或者向个人提供便捷的拒绝方式。
通过自动化决策方式作出对个人权益有重大影响的决定，个人有权要求个人信息处理者予以说明，并有权拒绝个人信息处理者仅通过自动化决策的方式作出决定。
条款解读：本条是“反大数据杀熟”和算法推荐监管的上位法依据。三款分别管三件事：交易价格等条件不得搞不合理差别待遇（杀熟）、精准推送要给“不针对个人特征”的选项或便捷拒绝方式、对个人权益有重大影响的自动化决定个人有权要求说明并拒绝纯自动决策。
落到AI应用上，推荐算法、个性化定价、智能风控、简历自动筛选都属于自动化决策。合规要点：一是提供并保留“关闭个性化推荐/退出精准营销”的入口（第七十三条把自动化决策定义为“通过计算机程序自动分析评估个人的行为习惯、兴趣爱好或经济、健康、信用状况等并进行决策”），二是对影响重大的决定留出人工介入和说明渠道。第五十五条据此要求利用个人信息自动化决策必须事前做个人信息保护影响评估。
案例参考：顾某与某公司（携程平台运营方）隐私权、个人信息保护纠纷案（（2026）沪01民终1899号，上海市第一中级人民法院）——用户顾某收到平台商业营销短信后，主张平台以“全盘接受或放弃服务”的一揽子同意方式强制捆绑广告推送授权，要求平台提供“分项勾选”的注册选项、确认相关条款无效。法院认为：平台以加粗加黑的显著方式明确告知了个性化推荐和商业信息推送，并提供了便捷的关闭（退订）方式，在无禁止性法律规定的情况下，一揽子同意加事后便捷拒绝的模式符合海量用户互联网平台的特征，未损害用户合法权益，驳回全部诉请。
本条第二款给了处理者“提供不针对个人特征的选项”或“提供便捷拒绝方式”的二选一空间——本案表明，只要退订/关闭个性化推荐的入口真实便捷、告知足够显著，一揽子同意的商业营销授权在现有司法尺度下可以站得住。但这不是给强制捆绑开绿灯：告知不显著、拒绝入口形同虚设，仍会翻船。
第二十五条 个人信息处理者不得公开其处理的个人信息，取得个人单独同意的除外。
第二十六条 在公共场所安装图像采集、个人身份识别设备，应当为维护公共安全所必需，遵守国家有关规定，并设置显著的提示标识。所收集的个人图像、身份识别信息只能用于维护公共安全的目的，不得用于其他目的；取得个人单独同意的除外。
第二十七条 个人信息处理者可以在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息；个人明确拒绝的除外。个人信息处理者处理已公开的个人信息，对个人权益有重大影响的，应当依照本法规定取得个人同意。
条款解读：本条对AI语料采集尤其关键。很多团队默认“网上公开的数据随便爬”，但本条划了两条线：一是个人明确拒绝的不能处理，二是处理已公开信息如果对个人权益有重大影响，仍要取得同意。
换言之，“已经合法公开”只是免除了“重新征得同意”的一般门槛，不是无限授权。把公开的照片、社交动态、简历信息拿去做人脸模型训练、用户画像、自动化决策，一旦对个人权益产生重大影响，就要退回到同意规则；涉及人脸等生物识别信息的，还叠加第二十八条以下敏感信息的单独同意要求。爬取公开数据训练模型，合规上并不比采集非公开数据轻松多少。
第二节 敏感个人信息的处理规则
第二十八条 敏感个人信息是一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。
只有在具有特定的目的和充分的必要性，并采取严格保护措施的情形下，个人信息处理者方可处理敏感个人信息。
条款解读：本条给敏感个人信息定了范围和门槛。范围采“列举+概括”：生物识别（人脸、指纹、声纹、虹膜）、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹，加上不满十四周岁未成年人的全部个人信息。门槛是“特定目的+充分必要性+严格保护措施”三重叠加，再加第二十九条的单独同意。
对AI而言这是训练数据合规的高压线：人脸、声纹是生物识别信息，属敏感个人信息；医疗大模型的病历数据是医疗健康信息；金融风控模型的账户流水是金融账户信息。这些数据入训练集，不是有“公开来源”就能处理，必须论证特定目的和充分必要性、单独同意、并做第五十五条的事前影响评估。据全国人大常委会法工委在立法过程中的说明，个保法正是针对“戴头盔看房躲人脸识别”等乱象，对人脸等生物特征信息作出专门规定（法工委发言人介绍）。
案例参考：郭某诉某野生动物世界服务合同纠纷案（（2020）浙01民终10940号，浙江省杭州市中级人民法院，人民法院案例库入库编号2023-07-2-137-002，俗称“人脸识别第一案”）——郭某购买指纹识别年卡后，动物园单方将入园方式改为人脸识别，短信通知不激活人脸识别将无法入园。法院认为生物识别信息深度体现自然人生理特征、具备较强人格属性，经营者只有在消费者知情同意的前提下方能收集使用，且须遵循合法、正当、必要原则；人脸识别店堂告示非双方合同条款、对郭某不发生效力，判决动物园删除郭某办理年卡时提交的指纹识别信息。
本案裁判于个保法施行前、以《民法典》和合同法为据，但确立的“生物识别信息须谨慎处理、严格保护，收集使用以知情同意加合法正当必要为前提”的裁判立场，正是第二十八条把生物识别信息列为敏感个人信息、抬高处理门槛的司法先声。经营者不能借升级服务之名，强制用户交出人脸这类敏感信息。
第二十九条 处理敏感个人信息应当取得个人的单独同意；法律、行政法规规定处理敏感个人信息应当取得书面同意的，从其规定。
案例参考：浙江省杭州市萧山区人民检察院诉虞某龙个人信息保护民事公益诉讼案（（2023）浙0192民初4563号，杭州互联网法院，人民法院案例库入库编号2025-07-2-525-001）——虞某龙从网络收集百余人人脸信息，未经同意用“AI换脸”软件替换到淫秽视频中伪造图片、视频，在付费社群发布并对外销售换脸软件、提供定制服务牟利。法院认定：人脸信息属生物识别信息、属敏感个人信息，处理须取得个人单独同意；虞某龙未经同意深度合成伪造并传播，侵害众多不特定主体个人信息权益、损害社会公共利益，判决停止侵权、删除信息、在《法治日报》公开赔礼道歉并支付公益损害赔偿金60000元。
本条“单独同意”在人脸这类生物识别信息上是硬性前置——用AI换脸技术处理他人人脸而根本没有取得同意，无论技术多先进，都是对个人信息权益的直接侵害。本案也是敏感个人信息保护与个人信息保护民事公益诉讼（第七十条）叠加适用的典型。
第三十条 个人信息处理者处理敏感个人信息的，除本法第十七条第一款规定的事项外，还应当向个人告知处理敏感个人信息的必要性以及对个人权益的影响；依照本法规定可以不向个人告知的除外。
第三十一条 个人信息处理者处理不满十四周岁未成年人个人信息的，应当取得未成年人的父母或者其他监护人的同意。
个人信息处理者处理不满十四周岁未成年人个人信息的，应当制定专门的个人信息处理规则。
第三十二条 法律、行政法规对处理敏感个人信息规定应当取得相关行政许可或者作出其他限制的，从其规定。
第三节 国家机关处理个人信息的特别规定
第三十三条 国家机关处理个人信息的活动，适用本法；本节有特别规定的，适用本节规定。
第三十四条 国家机关为履行法定职责处理个人信息，应当依照法律、行政法规规定的权限、程序进行，不得超出履行法定职责所必需的范围和限度。
第三十五条 国家机关为履行法定职责处理个人信息，应当依照本法规定履行告知义务；有本法第十八条第一款规定的情形，或者告知将妨碍国家机关履行法定职责的除外。
第三十六条 国家机关处理的个人信息应当在中华人民共和国境内存储；确需向境外提供的，应当进行安全评估。安全评估可以要求有关部门提供支持与协助。
第三十七条 法律、法规授权的具有管理公共事务职能的组织为履行法定职责处理个人信息，适用本法关于国家机关处理个人信息的规定。
第三章 个人信息跨境提供的规则
第三十八条 个人信息处理者因业务等需要，确需向中华人民共和国境外提供个人信息的，应当具备下列条件之一：
（一）依照本法第四十条的规定通过国家网信部门组织的安全评估；
（二）按照国家网信部门的规定经专业机构进行个人信息保护认证；
（三）按照国家网信部门制定的标准合同与境外接收方订立合同，约定双方的权利和义务；
（四）法律、行政法规或者国家网信部门规定的其他条件。
中华人民共和国缔结或者参加的国际条约、协定对向中华人民共和国境外提供个人信息的条件等有规定的，可以按照其规定执行。
个人信息处理者应当采取必要措施，保障境外接收方处理个人信息的活动达到本法规定的个人信息保护标准。
条款解读：本条搭起了数据跨境的三条合规通道——安全评估、专业机构认证、标准合同，处理者按数据规模和敏感度择一走通。这是出海企业和用境外云服务、境外模型API的团队最需要吃透的一条。
三条通道的适用逻辑：达到规定数量、涉及重要数据或关键信息基础设施运营者的（第四十条），走安全评估这条最重的路径；一般规模的跨境可走认证或标准合同。无论走哪条，第三十九条还叠加“单独告知境外接收方信息+取得单独同意”的义务。前引左某案就是跨境场景的反面教材：告知不清、超出履行合同必要向境外营销主体传输信息，即便有跨境需求也不具备合法性基础。具体数量门槛与免评估情形，以国家网信部门数据出境的配套规定为准。
第三十九条 个人信息处理者向中华人民共和国境外提供个人信息的，应当向个人告知境外接收方的名称或者姓名、联系方式、处理目的、处理方式、个人信息的种类以及个人向境外接收方行使本法规定权利的方式和程序等事项，并取得个人的单独同意。
第四十条 关键信息基础设施运营者和处理个人信息达到国家网信部门规定数量的个人信息处理者，应当将在中华人民共和国境内收集和产生的个人信息存储在境内。确需向境外提供的，应当通过国家网信部门组织的安全评估；法律、行政法规和国家网信部门规定可以不进行安全评估的，从其规定。
第四十一条 中华人民共和国主管机关根据有关法律和中华人民共和国缔结或者参加的国际条约、协定，或者按照平等互惠原则，处理外国司法或者执法机构关于提供存储于境内个人信息的请求。非经中华人民共和国主管机关批准，个人信息处理者不得向外国司法或者执法机构提供存储于中华人民共和国境内的个人信息。
第四十二条 境外的组织、个人从事侵害中华人民共和国公民的个人信息权益，或者危害中华人民共和国国家安全、公共利益的个人信息处理活动的，国家网信部门可以将其列入限制或者禁止个人信息提供清单，予以公告，并采取限制或者禁止向其提供个人信息等措施。
第四十三条 任何国家或者地区在个人信息保护方面对中华人民共和国采取歧视性的禁止、限制或者其他类似措施的，中华人民共和国可以根据实际情况对该国家或者地区对等采取措施。
第四章 个人在个人信息处理活动中的权利
第四十四条 个人对其个人信息的处理享有知情权、决定权，有权限制或者拒绝他人对其个人信息进行处理；法律、行政法规另有规定的除外。
第四十五条 个人有权向个人信息处理者查阅、复制其个人信息；有本法第十八条第一款、第三十五条规定情形的除外。
个人请求查阅、复制其个人信息的，个人信息处理者应当及时提供。
个人请求将个人信息转移至其指定的个人信息处理者，符合国家网信部门规定条件的，个人信息处理者应当提供转移的途径。
第四十六条 个人发现其个人信息不准确或者不完整的，有权请求个人信息处理者更正、补充。
个人请求更正、补充其个人信息的，个人信息处理者应当对其个人信息予以核实，并及时更正、补充。
第四十七条 有下列情形之一的，个人信息处理者应当主动删除个人信息；个人信息处理者未删除的，个人有权请求删除：
（一）处理目的已实现、无法实现或者为实现处理目的不再必要；
（二）个人信息处理者停止提供产品或者服务，或者保存期限已届满；
（三）个人撤回同意；
（四）个人信息处理者违反法律、行政法规或者违反约定处理个人信息；
（五）法律、行政法规规定的其他情形。
法律、行政法规规定的保存期限未届满，或者删除个人信息从技术上难以实现的，个人信息处理者应当停止除存储和采取必要的安全保护措施之外的处理。
条款解读：本条是删除权（“被遗忘权”的中国表达）的落地条款。五种情形下处理者应当主动删除，未删的个人有权请求删除。这对AI团队有个绕不开的技术难题：模型一旦用某人的数据训练完成，参数里的“记忆”很难精准抹除。
本条末款给了缓冲——删除从技术上难以实现的，应当停止除存储和必要安全保护外的处理。但这不是免责金牌：一是要有真实的技术不能，而非嫌麻烦；二是停止处理的义务照旧。合规上，训练数据的来源台账、可删除的原始数据副本、以及对“撤回同意/请求删除”的响应机制，都要在数据入模型之前就设计好，事后再补极为被动。
第四十八条 个人有权要求个人信息处理者对其个人信息处理规则进行解释说明。
第四十九条 自然人死亡的，其近亲属为了自身的合法、正当利益，可以对死者的相关个人信息行使本章规定的查阅、复制、更正、删除等权利；死者生前另有安排的除外。
第五十条 个人信息处理者应当建立便捷的个人行使权利的申请受理和处理机制。拒绝个人行使权利的请求的，应当说明理由。
个人信息处理者拒绝个人行使权利的请求的，个人可以依法向人民法院提起诉讼。
第五章 个人信息处理者的义务
第五十一条 个人信息处理者应当根据个人信息的处理目的、处理方式、个人信息的种类以及对个人权益的影响、可能存在的安全风险等，采取下列措施确保个人信息处理活动符合法律、行政法规的规定，并防止未经授权的访问以及个人信息泄露、篡改、丢失：
（一）制定内部管理制度和操作规程；
（二）对个人信息实行分类管理；
（三）采取相应的加密、去标识化等安全技术措施；
（四）合理确定个人信息处理的操作权限，并定期对从业人员进行安全教育和培训；
（五）制定并组织实施个人信息安全事件应急预案；
（六）法律、行政法规规定的其他措施。
条款解读：本条是处理者安全义务的基础清单，六项措施是监管检查和事后追责时的“对标项”。发生个人信息泄露被追责时，处理者能否证明自己已按本条建立了内部制度、分类管理、加密去标识化、权限控制、应急预案，直接影响过错认定和处罚幅度。
对AI团队落地这条，可对照做五件事：
- 制定覆盖数据采集、标注、训练、存储、销毁全流程的个人信息内部管理制度和操作规程。
- 对训练数据按一般信息、敏感信息、匿名化数据分类分级管理，敏感数据单独设更严的处理审批。
- 对存储和传输的个人信息采取加密、去标识化措施，训练前尽可能去标识化处理。
- 收紧数据访问权限到最小必要人员，定期做安全培训并留痕。
- 制定数据泄露应急预案并演练，明确第五十七条要求的泄露通知流程和责任人。
第五十二条 处理个人信息达到国家网信部门规定数量的个人信息处理者应当指定个人信息保护负责人，负责对个人信息处理活动以及采取的保护措施等进行监督。
个人信息处理者应当公开个人信息保护负责人的联系方式，并将个人信息保护负责人的姓名、联系方式等报送履行个人信息保护职责的部门。
第五十三条 本法第三条第二款规定的中华人民共和国境外的个人信息处理者，应当在中华人民共和国境内设立专门机构或者指定代表，负责处理个人信息保护相关事务，并将有关机构的名称或者代表的姓名、联系方式等报送履行个人信息保护职责的部门。
第五十四条 个人信息处理者应当定期对其处理个人信息遵守法律、行政法规的情况进行合规审计。
第五十五条 有下列情形之一的，个人信息处理者应当事前进行个人信息保护影响评估，并对处理情况进行记录：
（一）处理敏感个人信息；
（二）利用个人信息进行自动化决策；
（三）委托处理个人信息、向其他个人信息处理者提供个人信息、公开个人信息；
（四）向境外提供个人信息；
（五）其他对个人权益有重大影响的个人信息处理活动。
条款解读：本条列出五类必须“事前”做个人信息保护影响评估（PIA）的高风险场景，与AI业务高度重合：处理敏感信息、自动化决策、委托/提供/公开个人信息、数据跨境全都在列。评估要在处理行为发生之前完成，不是出事后补材料。
评估内容由第五十六条明确（处理是否合法正当必要、对个人权益的影响及安全风险、保护措施是否有效），评估报告和处理记录至少保存三年。做AI产品，训练敏感数据、上线推荐算法、把数据委托给外包标注、用境外算力或模型，任一环节启动前都应完成并留存PIA——这既是合规硬要求，也是发生纠纷时证明自己尽到注意义务的关键证据。
第五十六条 个人信息保护影响评估应当包括下列内容：
（一）个人信息的处理目的、处理方式等是否合法、正当、必要；
（二）对个人权益的影响及安全风险；
（三）所采取的保护措施是否合法、有效并与风险程度相适应。
个人信息保护影响评估报告和处理情况记录应当至少保存三年。
第五十七条 发生或者可能发生个人信息泄露、篡改、丢失的，个人信息处理者应当立即采取补救措施，并通知履行个人信息保护职责的部门和个人。通知应当包括下列事项：
（一）发生或者可能发生个人信息泄露、篡改、丢失的信息种类、原因和可能造成的危害；
（二）个人信息处理者采取的补救措施和个人可以采取的减轻危害的措施；
（三）个人信息处理者的联系方式。
个人信息处理者采取措施能够有效避免信息泄露、篡改、丢失造成危害的，个人信息处理者可以不通知个人；履行个人信息保护职责的部门认为可能造成危害的，有权要求个人信息处理者通知个人。
第五十八条 提供重要互联网平台服务、用户数量巨大、业务类型复杂的个人信息处理者，应当履行下列义务：
（一）按照国家规定建立健全个人信息保护合规制度体系，成立主要由外部成员组成的独立机构对个人信息保护情况进行监督；
（二）遵循公开、公平、公正的原则，制定平台规则，明确平台内产品或者服务提供者处理个人信息的规范和保护个人信息的义务；
（三）对严重违反法律、行政法规处理个人信息的平台内的产品或者服务提供者，停止提供服务；
（四）定期发布个人信息保护社会责任报告，接受社会监督。
条款解读：本条是针对“提供重要互联网平台服务、用户数量巨大、业务类型复杂”的超大型平台的“守门人”条款，义务比一般处理者重得多——要成立主要由外部成员组成的独立监督机构、制定平台规则约束平台内经营者、对严重违法者停止服务、定期发布个人信息保护社会责任报告。
判断谁落入本条，要三个特征叠加，通常指向头部社交、电商、搜索、应用商店等平台。对这类平台而言，个人信息保护不只是管好自己，还要对平台内海量第三方开发者、商家的个人信息处理行为负起监督和处置责任，形同平台生态的“内部监管者”。做大型AI平台、把第三方模型或智能体接入自己生态的，要提前评估是否可能被认定为本条主体。
第五十九条 接受委托处理个人信息的受托人，应当依照本法和有关法律、行政法规的规定，采取必要措施保障所处理的个人信息的安全，并协助个人信息处理者履行本法规定的义务。
第六章 履行个人信息保护职责的部门
第六十条 国家网信部门负责统筹协调个人信息保护工作和相关监督管理工作。国务院有关部门依照本法和有关法律、行政法规的规定，在各自职责范围内负责个人信息保护和监督管理工作。
县级以上地方人民政府有关部门的个人信息保护和监督管理职责，按照国家有关规定确定。
前两款规定的部门统称为履行个人信息保护职责的部门。
第六十一条 履行个人信息保护职责的部门履行下列个人信息保护职责：
（一）开展个人信息保护宣传教育，指导、监督个人信息处理者开展个人信息保护工作；
（二）接受、处理与个人信息保护有关的投诉、举报；
（三）组织对应用程序等个人信息保护情况进行测评，并公布测评结果；
（四）调查、处理违法个人信息处理活动；
（五）法律、行政法规规定的其他职责。
第六十二条 国家网信部门统筹协调有关部门依据本法推进下列个人信息保护工作：
（一）制定个人信息保护具体规则、标准；
（二）针对小型个人信息处理者、处理敏感个人信息以及人脸识别、人工智能等新技术、新应用，制定专门的个人信息保护规则、标准；
（三）支持研究开发和推广应用安全、方便的电子身份认证技术，推进网络身份认证公共服务建设；
（四）推进个人信息保护社会化服务体系建设，支持有关机构开展个人信息保护评估、认证服务；
（五）完善个人信息保护投诉、举报工作机制。
第六十三条 履行个人信息保护职责的部门履行个人信息保护职责，可以采取下列措施：
（一）询问有关当事人，调查与个人信息处理活动有关的情况；
（二）查阅、复制当事人与个人信息处理活动有关的合同、记录、账簿以及其他有关资料；
（三）实施现场检查，对涉嫌违法的个人信息处理活动进行调查；
（四）检查与个人信息处理活动有关的设备、物品；对有证据证明是用于违法个人信息处理活动的设备、物品，向本部门主要负责人书面报告并经批准，可以查封或者扣押。
履行个人信息保护职责的部门依法履行职责，当事人应当予以协助、配合，不得拒绝、阻挠。
第六十四条 履行个人信息保护职责的部门在履行职责中，发现个人信息处理活动存在较大风险或者发生个人信息安全事件的，可以按照规定的权限和程序对该个人信息处理者的法定代表人或者主要负责人进行约谈，或者要求个人信息处理者委托专业机构对其个人信息处理活动进行合规审计。个人信息处理者应当按照要求采取措施，进行整改，消除隐患。
履行个人信息保护职责的部门在履行职责中，发现违法处理个人信息涉嫌犯罪的，应当及时移送公安机关依法处理。
第六十五条 任何组织、个人有权对违法个人信息处理活动向履行个人信息保护职责的部门进行投诉、举报。收到投诉、举报的部门应当依法及时处理，并将处理结果告知投诉、举报人。
履行个人信息保护职责的部门应当公布接受投诉、举报的联系方式。
第七章 法律责任
第六十六条 违反本法规定处理个人信息，或者处理个人信息未履行本法规定的个人信息保护义务的，由履行个人信息保护职责的部门责令改正，给予警告，没收违法所得，对违法处理个人信息的应用程序，责令暂停或者终止提供服务；拒不改正的，并处一百万元以下罚款；对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款。
有前款规定的违法行为，情节严重的，由省级以上履行个人信息保护职责的部门责令改正，没收违法所得，并处五千万元以下或者上一年度营业额百分之五以下罚款，并可以责令暂停相关业务或者停业整顿、通报有关主管部门吊销相关业务许可或者吊销营业执照；对直接负责的主管人员和其他直接责任人员处十万元以上一百万元以下罚款，并可以决定禁止其在一定期限内担任相关企业的董事、监事、高级管理人员和个人信息保护负责人。
条款解读：本条是个保法的“重罚”条款，也是它区别于此前个人信息保护规则的最大威慑。两档处罚：一般违法处一百万元以下罚款；情节严重的由省级以上部门处五千万元以下或者上一年度营业额百分之五以下罚款——取二者从高，这是对照欧盟GDPR设计的营业额挂钩罚则。
更狠的是对人的责任：直接责任人个人最高可罚一百万元，还可被禁止在一定期限内担任企业董事、监事、高管和个人信息保护负责人（禁业）。这意味着违法处理个人信息的代价不再只是公司交钱了事，负责人个人要背罚款、担禁业风险。多部AI相关规章（如《生成式人工智能服务管理暂行办法》）的罚则采转致模式，落到个人信息违法上，援引的正是本条这套重罚。
第六十七条 有本法规定的违法行为的，依照有关法律、行政法规的规定记入信用档案，并予以公示。
第六十八条 国家机关不履行本法规定的个人信息保护义务的，由其上级机关或者履行个人信息保护职责的部门责令改正；对直接负责的主管人员和其他直接责任人员依法给予处分。
履行个人信息保护职责的部门的工作人员玩忽职守、滥用职权、徇私舞弊，尚不构成犯罪的，依法给予处分。
第六十九条 处理个人信息侵害个人信息权益造成损害，个人信息处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任。
前款规定的损害赔偿责任按照个人因此受到的损失或者个人信息处理者因此获得的利益确定；个人因此受到的损失和个人信息处理者因此获得的利益难以确定的，根据实际情况确定赔偿数额。
条款解读：本条确立了个人信息侵权的“过错推定”规则——受害人不必证明处理者有过错，反过来由处理者自证无过错，证明不了就担责。这是对个人的重大倾斜：普通侵权要受害人证明对方有过错，个人信息侵权则举证责任倒置。
赔偿计算上，按个人损失或处理者获利确定，二者都难查清的由法院酌定（前引秦某乐案即按侵权人获利认定公益赔偿数额）。对处理者的实务含义很直接：一旦被诉侵害个人信息，能否拿出第五十一条的安全措施、第五十五条的影响评估记录、告知同意的完整凭据来自证无过错，直接决定输赢。合规留痕不是走形式，是过错推定下的免责证据。
第七十条 个人信息处理者违反本法规定处理个人信息，侵害众多个人的权益的，人民检察院、法律规定的消费者组织和由国家网信部门确定的组织可以依法向人民法院提起诉讼。
案例参考：郭某、吕某等侵犯公民个人信息案（（2020）赣0123刑初53号，江西省安义县人民法院，人民法院案例库入库编号2023-04-1-207-002）——被告人开发网络放贷APP，借维护后台之机大肆收集用户姓名、手机号、身份证号、住址、通讯录等信息7272条，非法提供给放贷人员并向短信公司购买、提供信息群发推广，非法获利九万余元。检察机关在提起公诉的同时提起刑事附带民事公益诉讼，法院以侵犯公民个人信息罪判处各被告人有期徒刑并适用缓刑、并处罚金，同时判令永久删除服务器数据库内的公民个人信息、在国家级媒体公开赔礼道歉、赔偿损失。
本条把个人信息保护民事公益诉讼写入法律。本案确立的规则：侵犯公民个人信息可能滋生电信诈骗、“套路贷”等下游犯罪、威胁不特定公众，具公益属性，检察机关可在起诉犯罪的同时提起附带民事公益诉讼；刑事责任与民事责任保护不同法益、互不吸收，可双重制裁。违法收集个人信息，不是判了刑就一了百了。
第七十一条 违反本法规定，构成违反治安管理行为的，依法给予治安管理处罚；构成犯罪的，依法追究刑事责任。
条款解读：本条是个保法与治安管理处罚、刑事责任的衔接条款。违法处理个人信息在司法实践中最主要的刑事出口是《刑法》第二百五十三条之一的侵犯公民个人信息罪——违反国家有关规定，向他人出售或者提供公民个人信息，或者非法获取，情节严重的即可入罪。
定罪门槛的“情节严重”“情节特别严重”由《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》细化：行踪轨迹、通信内容、征信、财产信息50条以上，住宿、通信记录、健康生理、交易信息500条以上，其他个人信息5000条以上等即属情节严重，十倍即情节特别严重（可处三年以上七年以下有期徒刑）。本页所引秦某乐案、郭某吕某案、虞某龙案，都是本条刑民衔接、公益追责的实证——个人信息违法的责任链条，从行政罚款一路贯通到刑事牢狱。
第八章 附则
第七十二条 自然人因个人或者家庭事务处理个人信息的，不适用本法。
法律对各级人民政府及其有关部门组织实施的统计、档案管理活动中的个人信息处理有规定的，适用其规定。
第七十三条 本法下列用语的含义：
（一）个人信息处理者，是指在个人信息处理活动中自主决定处理目的、处理方式的组织、个人。
（二）自动化决策，是指通过计算机程序自动分析、评估个人的行为习惯、兴趣爱好或者经济、健康、信用状况等，并进行决策的活动。
（三）去标识化，是指个人信息经过处理，使其在不借助额外信息的情况下无法识别特定自然人的过程。
（四）匿名化，是指个人信息经过处理无法识别特定自然人且不能复原的过程。
第七十四条 本法自2021年11月1日起施行。
参考来源
- 《中华人民共和国个人信息保护法》官方全文，中国网信网
- 关于《中华人民共和国个人信息保护法（草案）》的说明，中国人大网
- 专家解读｜个人信息保护法的深远意义：中国与世界，中国网信网
- 全国人大常委会法工委发言人：个人信息保护法草案对处理人脸识别等作出专门规定，广州人大网转中国人大全媒体报道
- 案例检索：经过中国裁判文书网检索，共引用7个案例