中华人民共和国个人信息保护法（草案）
第一章总则
第一条为了保护个人信息权益规范个人信息处理活动,保障个人信息依法有序自由流动,促进个人信息合理利用,制定本法。
【律师解读】
本条开宗明义，明确了《个人信息保护法》的立法目的和宗旨，即通过立法的形式，促进个人信息合法、合规、合理利用，并确保其具备一定流动性。
第二条自然人的个人信息受法律保护,任何组织、个人不得侵害自然人的个人信息权益。
第三条组织、个人在中华人民共和国境内处理自然人个人信息的活动,适用本法。
在中华人民共和国境外处理中华人民共和国境内自然人个人信息的活动,有下列情形之一的,也适用本法:
(一)以向境内自然人提供产品或者服务为目的;
(二)为分析、评估境内自然人的行为;
(三)法律、行政法规规定的其他情形。
第四条个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息,不包括匿名化处理后的信息。
个人信息的处理包括个人信息的收集、存储、使用、加工、传输、提供、公开等活动。
本条明确了“个人信息”以及“个人信息的处理”的范围和定义。
对于“个人信息的处理”而言，《个人信息保护法》与《网络安全法》规定的较为一致。
本条是有关个人信息处理中的合法性和正当性要求。
《网络安全法》第四十一条规定了网络运营者收集、使用个人信息，应当遵循合法、正当、必要的三大原则。但是本条内容仅涵盖了合法性和正当性，而将必要性作为第六条的规定进行单列，可见其重要意义。
所谓合法性，指的是在个人信息处理过程中，需要符合法律法规的要求，禁止通过植入恶意软件等非法手段收集、存储、使用、加工、传输、提供、公开个人信息。
所谓正当性，指的是在个人信息处理过程中，需要采取例如“明示+同意”的正当形式收集、存储、使用、加工、传输、提供、公开个人信息。
第六条处理个人信息应当具有明确、合理的目的,并应当限于实现处理目的的最小范围,不得进行与处理目的无关的个人信息处理。
本条是有关个人信息处理中的目的性和必要性要求。
所谓目的性，指的是在个人信息处理过程中，需要符合一定的合理目的，且该目的需要具备较为明确的要素，同时需要注意该目的性的要求应当与企业自身所提供的商品和服务具有一定的关联性。
第七条处理个人信息应当遵循公开、透明的原则,明示个人信息处理规则。【律师解读】
除合法性、正当性和必要性外，本条还明确了个人信息处理的公开、透明原则。
本条在《民法典》第一千零三十五条第一款第二项的基础上，增加了透明原则，要求个人信息处理的方式方法必须公开、透明，以便随时受到社会公众的监督。
第八条为实现处理目的,所处理的个人信息应当准确,并及时更新。
本条明确了个人信息处理的准确性，并提出了及时更新的要求。
本条与欧盟GDPR第五条第一款（d）项的规定较为类似，即要求个人信息处理的及时性及准确性。在商业运作中，要求企业及时更新个人信息，使得处理所得的数据较为精确。同时，从侧面也赋予了个人随时修改自身信息的权限。
第九条个人信息处理者应当对其个人信息处理活动负责,并采取必要措施保障所处理的个人信息的安全。
本条明确了“谁处理，谁负责”的原则，将责任落实到人有助于损害赔偿及追责，该条也与《网络安全法》第四十二条的规定相一致。
第十条任何组织、个人不得违反法律、行政法规的规定处理个人信息,不得从事危害国家安全、公共利益的个人信息处理活动。
本条通过立法的形式，明确禁止行为人从事危害国家安全、公共利益的个人信息处理活动，违者将面临刑事追责的风险。
本条明确了国家依法整治互联网及维护个人信息保护良好环境的决心，确立了个人信息保护工作的基本原则。其中，建立健全个人信息保护制度的要求，对互联网企业的数据合规提出了更高要求。
第十二条国家积极参与个人信息保护国际规则的制定,促进个人信息保护方面的国际交流与合作,推动与其他国家、地区、国际组织之间的个人信息保护规则、标准等的互认。
本条明确了我国与其他国家间在个人信息保护领域的国际合作关系，对推动信息保护规则和标准的国际互认意义重大。《个人信息保护法》借鉴了欧盟的《避风港协议》和《隐私盾协议》的做法，深化国际交流合作，在提升个人信息保护技术的同时，为我国与他国间的跨境数据自由流转提供土壤，进而促进我国互联网企业的蓬勃发展。
第二章个人信息处理规则
第一节一般规定
第十三条符合下列情形之一的,个人信息处理者方可处理个人信息:
(一)取得个人的同意;
(二)为订立或者履行个人作为一方当事人的合同所必需;
(三)为履行法定职责或者法定义务所必需;
(四)为应对突发公共卫生事件,或者紧急情况下为保护自然人的生命健康和财产安全所必需;
(五)为公共利益实施新闻报道、舆论监督等行为在合理的范围内处理个人信息;
(六)法律、行政法规规定的其他情形。
虽然“告知和同意原则”的适用是个人信息保护中一项难以绕开的话题，但是单纯依靠该原则进行狭义适用，势必难以适应日常生活中各类复杂的应用场景，容易造成互联网企业遭受不公正待遇。本条在《民法典》第一千零三十五条以及《网络安全法》第四十二条要求“取得个人同意”的基础上罗列了其他几种处理个人信息的合法情形，对“告知和同意原则”进行了一定程度的延伸，为个人信息的处理提供了多样化的选择路径。此外，考虑到新冠疫情等突发公共卫生事件等客观因素，将紧急情况作为个人信息处理的合法要素纳入考量，更符合政府监管及互联网企业的现实需要。
第十四条处理个人信息的同意,应当由个人在充分知情的前提下,自愿、明确作出意思表示。法律、行政法规规定处理个人信息应当取得个人单独同意或者书面同意的,从其规定。
个人信息的处理目的、处理方式和处理的个人信息种类发生变更的,应当重新取得个人同意。
第十五条个人信息处理者知道或者应当知道其处理的个人信息为不满十四周岁未成年人个人信息的,应当取得其监护人的同意。
需要注意本条在实际适用过程中，需要与《个人信息保护法》等十三条、第十四条等同时适用，即处理未满十四周岁未成年人信息的，应当取得其监护人的同意，并同时满足其他条款所规定的情形。
第十六条基于个人同意而进行的个人信息处理活动,个人有权撤回其同意。
第十七条个人信息处理者不得以个人不同意处理其个人信息或者撤回其对个人信息处理的同意为由,拒绝提供产品或者服务;处理个人信息属于提供产品或者服务所必需的除外。
本条规定与《数据安全管理办法》（征求意见稿）第十一条的规定如出一辙，系个人信息处理必要性的直观体现。
第十八条个人信息处理者在处理个人信息前,应当以显著方式、清晰易懂的语言向个人告知下列事项:
(一)个人信息处理者的身份和联系方式;
(二)个人信息的处理目的、处理方式,处理的个人信息种类、保存期限;
(三)个人行使本法规定权利的方式和程序;
(四)法律、行政法规规定应当告知的其他事项。
前款规定事项发生变更的,应当将变更部分告知个人。
个人信息处理者通过制定个人信息处理规则的方式告知第一款规定事项的,处理规则应当公开,并且便于查阅和保存。
本条规定了个人信息处理者在处理个人信息前所需披露事项。
第十九条个人信息处理者处理个人信息,有法律、行政法规规定应当保密或者不需要告知的情形的,可以不向个人告知前条规定的事项。
紧急情况下为保护自然人的生命健康和财产安全无法及时向个人告知的,个人信息处理者应当在紧急情况消除后予以告知。
本条是有关个人信息处理前告知豁免的两种情形。
第一种情况最为典型的是根据《中华人民共和国反恐怖主义法》第五十一条的规定，即公安机关在调查恐怖活动的案件中，可以获得事先告知豁免。
本条是对个人信息保存期限的规定。
第二十一条两个或者两个以上的个人信息处理者共同决定个人信息的处理目的和处理方式的,应当约定各自的权利和义务。但是,该约定不影响个人向其中任何一个个人信息处理者要求行使本法规定的权利。
个人信息处理者共同处理个人信息,侵害个人信息权益的,依法承担连带责任。
本条明确了个人信息处理者共同处理信息的权利义务划分和责任承担。
第二十二条个人信息处理者委托处理个人信息的,应当与受托方约定委托处理的目的、处理方式、个人信息的种类、保护措施以及双方的权利和义务等,并对受托方的个人信息处理活动进行监督。
受托方应当按照约定处理个人信息,不得超出约定的处理目的、处理方式等处理个人信息,并应当在合同履行完毕或者委托关系解除后,将个人信息返还个人信息处理者或者予以删除。
未经个人信息处理者同意,受托方不得转委托他人处理个人信息。
本条所规范的是委托第三方处理个人信息的情形，其与欧盟GDPR第二十八条较为类似。
需要注意的是，本条与第二十一条可能存在一定的重合，即委托人如果同时存在个人信息处理的情况下，其应当同时满足本法第二十一条和第二十二条的要求。但当其自身并不处理个人信息时，其应当满足本条的规定。
第二十三条个人信息处理者因合并、分立等原因需要转移个人信息的,应当向个人告知接收方的身份、联系方式。接收方应当继续履行个人信息处理者的义务。接收方变更原先的处理目的、处理方式的,应当依照本法规定重新向个人告知并取得其同意。
本条是关于个人信息承继的规范。
第二十四条个人信息处理者向第三方提供其处理的个人信息的,应当向个人告知第三方的身份、联系方式、处理目的、处理方式和个人信息的种类,并取得个人的单独同意。接收个人信息的第三方应当在上述处理目的、处理方式和个人信息的种类等范围内处理个人信息。第三方变更原先的处理目的、处理方式的,应当依照本法规定重新向个人告知并取得其同意。
个人信息处理者向第三方提供匿名化信息的,第三方不得利用技术等手段重新识别个人身份。
本条明确了向第三方提供个人信息的具体要求。
本条与第二十三条的本质区别在于获取个人信息的主体是否为第三方，如果获取个人信息的主体为第三方，则按照《个人信息保护法》的立法精神，显然需要履行“告知和同意原则”。
需要注意的是，根据《网络安全法》第四十二条的规定：“网络运营者不得泄露、篡改、毁损其收集的个人信息；未经被收集者同意，不得向他人提供个人信息。但是，经过处理无法识别特定个人且不能复原的除外。”因此，向第三方提供匿名化信息属于例外情形，无需事先经过个人的同意，但第三方不得利用技术等手段重新识别个人身份。
第二十五条利用个人信息进行自动化决策,应当保证决策的透明度和处理结果的公平合理。个人认为自动化决策对其权益造成重大影响的,有权要求个人信息处理者予以说明,并有权拒绝个人信息处理者仅通过自动化决策的方式作出决定。
通过自动化决策方式进行商业营销、信息推送,应当同时提供不针对其个人特征的选项。
本条是针对人工智能中自动化决策的规范，其与欧盟GDPR中的第二十二条相类似。
此外，我国《信息安全技术个人信息安全规范》（GB/T35273-2020）第7.5条（b）项和《电子商务法》第十八条也有类似规定。根据《电子商务法》第十八条规定，“电子商务经营者根据消费者的兴趣爱好、消费习惯等特征向其提供商品或者服务的搜索结果的，应当同时向该消费者提供不针对其个人特征的选项，尊重和平等保护消费者合法权益。”可见，在适用自动化决策的过程中，互联网公司需要同时设置不针对其个人特征的选项，以保证交易的公平性。
第二十六条个人信息处理者不得公开其处理的个人信息;取得个人单独同意或者法律、行政法规另有规定的除外。
本条规定了个人信息处理应当“以不公开原则，以公开为例外”。
个人信息的处理仅需获得个人同意即可，因此，为降低个人信息权益受侵犯的风险，其处理原则应当“以不公开原则，以公开为例外”。除非个人就个人信息的公开“单独同意”或者有法可依的情况下，其他一律应当通过技术手段予以保密。
第二十七条在公共场所安装图像采集、个人身份识别设备,应当为维护公共安全所必需,遵守国家有关规定,并设置显著的提示标识。所收集的个人图像、个人身份特征信息只能用于维护公共安全的目的,不得公开或者向他人提供;取得个人单独同意或者法律、行政法规另有规定的除外。
基于“公共安全”的需要，可以对个人进行身份识别，但仍应符合第二十六条的规定，一般不得将所获个人信息进行公开或者向第三方提供。需要明确指出的是，此处并未将安装图像采集的主体限定为国家机关，因此只要是以维护“公共安全”为目的的主体，均可就个人身份进行识别，但需符合相应的保密规定。
个人信息被公开时的用途不明确的,个人信息处理者应当合理、谨慎地处理已公开的个人信息;利用已公开的个人信息从事对个人有重大影响的活动,应当依照本法规定向个人告知并取得其同意。
本条是对已公开个人信息用途的规范，或将认定“人肉搜索”系违法行为。
相较于《民法典》第一千零三十六条第二项规定的“合理处理该自然人自行公开的或者其他已经合法公开的信息，但是该自然人明确拒绝或者处理该信息侵害其重大利益的除外”，本条看似更为宽泛，但实则是在《民法典》的基础上进行了有效补充，两者在法律适用上其实并不存在任何障碍。
就本条理解，只要个人信息是行为人自行公开的，当个人信息处理者满足其公开时的用途，即可直接使用该公开的个人信息。此外，超出原始用途合理范围内的，则需要重新履行“告知和同意原则”。
当个人信息公开时的用途并不明确时，个人信息处理者需要合理、谨慎地处理已公开的个人信息。在个人信息公布的用途不明，且同时存在利用已公开的个人信息从事对个人有重大影响的活动时，就不得对个人信息进行处理，除非履行了“告知和同意原则”。此外，针对《民法典》第一千零三十六条第二项中的另一例外情况，即“该自然人明确拒绝”，我们认为实则是一种“撤销权”的表现形式，即与《个人信息保护法》第十三条的规定不谋而合，即无论个人信息公布时的用途是否明确，个人均有随时行使“撤销权”的权利。
第二节敏感个人信息的处理规则
第二十九条个人信息处理者具有特定的目的和充分的必要性,方可处理敏感个人信息。
敏感个人信息是一旦泄露或者非法使用,可能导致个人受到歧视或者人身、财产安全受到严重危害的个人信息,包括种族、民族、宗教信仰、个人生物特征、医疗健康、金融账户、个人行踪等信息。
本条是有关处理敏感个人信息的定义和规范要求。
具体而言，本条是对《个人信息保护法》第六条的深化。本条在第六条处理个人信息要求具备“明确且合理目的”的基础上，提出了更高的要求，即个人信息处理者需要满足“特定目的+充分必要”的规范化要求。这就意味着个人信息处理者应当本着更为严格和谨慎的态度处理敏感个人信息。
第三十条基于个人同意处理敏感个人信息的,个人信息处理者应当取得个人的单独同意。法律、行政法规规定处理敏感个人信息应当取得书面同意的,从其规定。
本条是有关个人同意以及依法获取处理敏感个人信息权限的规范要求。
第三十一条个人信息处理者处理敏感个人信息的,除本法第十八条规定的事项外,还应当向个人告知处理敏感个人信息的必要性以及对个人的影响。
本条明确了对处理敏感个人信息的告知义务。
在《个人信息保护法》第十八条的基础上，针对敏感个人信息的处理需要进一步告知必要性和对个人的影响。鉴于互联网企业广泛存在收集敏感个人信息的情形，因此，建议互联网企业在《隐私权政策》中对本条内容进行补充。需要提示注意的是，“告知对个人的影响”建议可通过列举或概述的形式进行，尽量穷尽。
本条是对处理敏感个人信息的特殊限制性措施。
第三节国家机关处理个人信息的特别规定
第三十三条国家机关处理个人信息的活动适用本法;本节有特别规定的,适用本节规定。
本条明确了《个人信息保护法》调整的对象包括国家机关。
第三十四条国家机关为履行法定职责处理个人信息,应当依照法律、行政法规规定的权限、程序进行,不得超出履行法定职责所必需的范围和限度。
本条规定了国家机关履行法定职责规范中处理个人信息的要求。
这一条款是国家机关在处理个人信息时履行职责必要性的体现，有助于遏制“借公权力为名，行滥用个人信息之实”的现象，规范国家机关处理个人信息的实体和程序，以保障公民的合法权益。
第三十五条国家机关为履行法定职责处理个人信息,应当依照本法规定向个人告知并取得其同意;法律、行政法规规定应当保密,或者告知、取得同意将妨碍国家机关履行法定职责的除外。
本条规定了国家机关履行法定职责处理个人信息所应遵循的原则。
国家机关在履行法定职责处理个人信息时，即需要满足《个人信息保护法》第十三条中有关“告知和同意原则”的要求。同时，本条还规范了“法律、行政法规规定应当保密,或者告知、取得同意将妨碍国家机关履行法定职责”的例外情况。
第三十六条国家机关不得公开或者向他人提供其处理的个人信息,法律、行政法规另有规定或者取得个人同意的除外。
本条明确了国家机关履行法定职责处理个人信息，禁止对外公开或对外提供的要求。
同互联网企业一样，国家机关在履行法定职责处理个人信息时，也不得随意公开或向他人提供，但是“法律、行政法规另有规定或者取得个人同意”是例外情况。
第三十七条国家机关处理的个人信息应当在中华人民共和国境内存储;确需向境外提供的,应当进行风险评估。风险评估可以要求有关部门提供支持与协助。
本条明确了国家机关处理的个人信息的储存方式及跨境流转的要求。
第三章个人信息跨境提供的规则
第三十八条个人信息处理者因业务等需要,确需向中华人民共和国境外提供个人信息的,应当至少具备下列一项条件:
(一)依照本法第四十条的规定通过国家网信部门组织的安全评估;
(三)与境外接收方订立合同,约定双方的权利和义务,并监督其个人信息处理活动达到本法规定的个人信息保护标准;
(四)法律、行政法规或者国家网信部门规定的其他条件。
本条明确了个人信息处理者跨境数据流转的规范要求。
第三十九条个人信息处理者向中华人民共和国境外提供个人信息的,应当向个人告知境外接收方的身份、联系方式、处理目的、处理方式、个人信息的种类以及个人向境外接收方行使本法规定权利的方式等事项,并取得个人的单独同意。
第四十条关键信息基础设施运营者和处理个人信息达到国家网信部门规定数量的个人信息处理者,应当将在中华人民共和国境内收集和产生的个人信息存储在境内。确需向境外提供的,应当通过国家网信部门组织的安全评估;法律、行政法规和国家网信部门规定可以不进行安全评估的,从其规定。
本条是针对特殊个人信息处理者跨境数据传输的要求。
本条规定与《网络安全法》第三十七条的规定如出一辙，但扩大了适用范围，将处理个人信息达到国家网信部门规定数量的个人信息处理者也列入了本地化存储的范畴。此外，本条对法律规定不需要进行“安全评估”的例外情形进行了兜底式的规定。
第四十一条因国际司法协助或者行政执法协助,需要向中华人民共和国境外提供个人信息的,应当依法申请有关主管部门批准。
中华人民共和国缔结或者参加的国际条约、协定对向中华人民共和国境外提供个人信息有规定的,从其规定。
本条涉及国际法上的“国际司法协助或者行政执法协助”问题。
第四十二条境外的组织、个人从事损害中华人民共和国公民的个人信息权益,或者危害中华人民共和国国家安全、公共利益的个人信息处理活动的,国家网信部门可以将其列入限制或者禁止个人信息提供清单,予以公告,并采取限制或者禁止向其提供个人信息等措施。
本条明确构建了“个人信息提供黑名单制度”。
第四十三条任何国家和地区在个人信息保护方面对中华人民共和国采取歧视性的禁止、限制或者其他类似措施的,中华人民共和国可以根据实际情况对该国家或者该地区采取相应措施。
本条规定了在个人信息保护领域的报复和反制措施。
按照国际法上的国家间对等原则，如果他国或地区对我国在个人信息保护方面采取了歧视性的禁止或限制措施，我国则可以根据实际情况对该国或地区采取相应的报复和反制措施。此前我国出台的《出口管制法》、《数据安全法》（草案）等法律规定都存在着类似的规定。
第四章个人在个人信息处理活动中的权利
第四十四条个人对其个人信息的处理享有知情权、决定权,有权限制或者拒绝他人对其个人信息进行处理;法律、行政法规另有规定的除外。
本条明确了个人对其个人信息处理时享有的知情权和决定权。
第四十五条个人有权向个人信息处理者查阅、复制其个人信息;有本法第十九条第一款规定情形的除外。
个人请求查阅、复制其个人信息的,个人信息处理者应当及时提供。
本条明确了个人在其个人信息处理后所享有的查阅和复制权。
根据《民法典》第一千零三十七条规定，“自然人可以依法向信息处理者查阅或者复制其个人信息；发现信息有错误的，有权提出异议并请求及时采取更正等必要措施。自然人发现信息处理者违反法律、行政法规的规定或者双方的约定处理其个人信息的，有权请求信息处理者及时删除。”可见，本条延续了《民法典》第一千零三十七条，明确了个人所享有的查阅和复制权。
第四十六条个人发现其个人信息不准确或者不完整的,有权请求个人信息处理者更正、补充。
个人请求更正、补充其个人信息的,个人信息处理者应当对其个人信息予以核实,并及时更正、补充。
本条明确了个人在其个人信息处理后所享有的更正和补充权。
第四十七条有下列情形之一的,个人信息处理者应当主动或者根据个人的请求,删除个人信息:
(一)约定的保存期限已届满或者处理目的已实现;
(二)个人信息处理者停止提供产品或者服务;
(三)个人撤回同意;
(四)个人信息处理者违反法律、行政法规或者违反约定处理个人信息;
(五)法律、行政法规规定的其他情形。
法律、行政法规规定的保存期限未届满,或者删除个人信息从技术上难以实现的,个人信息处理者应当停止处理个人信息。
本条明确了个人所享有的个人信息删除权以及个人信息处理者存在的删除义务，并同时对删除权行使的豁免进行了规定。
本条所规定的“删除权”被人们长期称之谓是“被遗忘权”。首先，由于个人信息一旦删除，则再难重新获取，因此删除权相对于其他权限来说其实施的条件和要求应当更为谨慎和严格。本条通过列举的形式明确了删除权的形式条件，极大地对其进行了适用上的限定，以保障各方权益尽可能稳定。
第四十八条个人有权要求个人信息处理者对其个人信息处理规则进行解释说明。
本条明确了个人所享有的解释权。
《个人信息保护法》的第四十八条首次提出了解释权的概念，即对于个人信息处理规则中存在的专业术语或者是理解上可能存在的偏差等问题，个人有权要求个人信息处理者进行解释说明，但具体解释说明的提出方式可以根据不同互联网企业的规则进行明示。
第四十九条个人信息处理者应当建立个人行使权利的申请受理和处理机制。拒绝个人行使权利的请求的,应当说明理由。
本条明确了个人信息处理者建立个人信息申请受理和处理机制的规定。
本条对个人信息处理者提出了合规治理层面的要求，即要求个人信息处理者履行同《网络安全法》第四十九条相类似的法律义务，并在此基础上进行细化，要求其在拒绝时对个人进行必要说明。
第五章个人信息处理者的义务
(一)制定内部管理制度和操作规程;
(二)对个人信息实行分级分类管理;
(三)采取相应的加密、去标识化等安全技术措施;
(五)制定并组织实施个人信息安全事件应急预案;
(六)法律、行政法规规定的其他措施。
本条明确了个人信息处理者对个人信息的安全保障义务。
第五十一条处理个人信息达到国家网信部门规定数量的个人信息处理者应当指定个人信息保护负责人,负责对个人信息处理活动以及采取的保护措施等进行监督。
个人信息处理者应当公开个人信息保护负责人的姓名、联系方式等,并报送履行个人信息保护职责的部门。
本条明确了特殊个人信息处理者指定个人信息保护负责人的义务。
《个人信息保护法》在《数据安全管理办法》第八条的基础上，又新增了特殊个人信息处理者即个人信息达到国家网信部门规定数量的个人信息处理者这一主体，并要求其也应当指定个人信息保护负责人。有关特殊个人信息处理者这一对象，在《个人信息保护法》第四十条跨境数据流转合规要求中我们已有介绍和说明，体现了法律对其重视程度。
虽然本条并未明确设立专门机构或者指定代表的具体流程和要求，也并未明确其法律主体和责任。但是根据《个人信息出境安全评估办法（征求意见稿）》第二十条的立法精神，通过“白名单制度”的建立可以有效对个人信息安全进行必要管控，防止个人信息非法出境而使得我国境内公民人身权益遭受不必要的损害。
第五十三条个人信息处理者应当定期对其个人信息处理活动、采取的保护措施等是否符合法律、行政法规的规定进行审计。履行个人信息保护职责的部门有权要求个人信息处理者委托专业机构进行审计。
本条规定了个人信息处理者有依法委托专业机构开展审计工作的义务。
另外需要说明的是，本条中的“履行个人信息保护职责的部门”可能会有所歧义。按照文义解释，其既可能指的是行政监管部门，也可能指的是企业内部的个人信息保护部门。我们认为，第一种解释可能更为妥当。首先，根据《个人信息保护法》第六章通篇的表述可以推定，其所指的是就是行政监管部门。其次，配合行政监管工作本身就是一项法定义务，具备立法的条件。第三，虽然本条已经开宗名义的明确了个人信息处理者定期审计的义务，但是对于未按规定履行审计义务的个人信息处理者而言，本条明确了个人信息保护职责部门的重要法律地位，为其介入监管提供了相应法律依据。
第五十四条个人信息处理者应当对下列个人信息处理活动在事前进行风险评估,并对处理情况进行记录:
(一)处理敏感个人信息;
(二)利用个人信息进行自动化决策;
(三)委托处理个人信息、向第三方提供个人信息、公开个人信息;
(四)向境外提供个人信息;
(五)其他对个人有重大影响的个人信息处理活动。
风险评估的内容应当包括:
(一)个人信息的处理目的、处理方式等是否合法、正当、必要;
(二)对个人的影响及风险程度;
(三)所采取的安全保护措施是否合法、有效并与风险程度相适应。
风险评估报告和处理情况记录应当至少保存三年。
本条明确了个人信息处理者的事先风险评估义务。
第五十五条个人信息处理者发现个人信息泄露的,应当立即采取补救措施,并通知履行个人信息保护职责的部门和个人。通知应当包括下列事项:
(一)个人信息泄露的原因;
(二)泄露的个人信息种类和可能造成的危害;
(三)已采取的补救措施;
(四)个人可以采取的减轻危害的措施;
(五)个人信息处理者的联系方式。
个人信息处理者采取措施能够有效避免信息泄露造成损害的,个人信息处理者可以不通知个人;但是,履行个人信息保护职责的部门认为个人信息泄露可能对个人造成损害的,有权要求个人信息处理者通知个人。
本条明确了在个人信息泄露时，个人信息处理者应当履行的通知义务，并采取相应补救措施。
本条明确了个人信息处理者在个人信息泄露时的通知义务和补救义务。第一，履行通知义务的主体是个人信息处理者。第二，本条还明确了履行通知义务的条件是个人信息遭受泄露或者是履行个人信息保护职责的部门向其提出要求这两类情形。第三，除通知义务外，个人信息处理者还需要及时采取补救措施，防止损失的扩大。第四，本条规定了个人信息处理者采取措施能够有效避免信息泄露造成损害的的情形下，个人信息处理者的通知义务可以被豁免。最后需要提醒，个人信息处理者采取的补救措施必须是及时且专业的，由于补救措施采取的不及时或者是不专业导致个人信息泄露扩大进而导致个人损失扩大的，个人信息处理者可能还需要承担相应的侵权责任。
第六章履行个人信息保护职责的部门
县级以上地方人民政府有关部门的个人信息保护和监督管理职责,按照国家有关规定确定。前两款规定的部门统称为履行个人信息保护职责的部门。
本条明确了履行个人信息保护的具体行政监管部门。
第五十七条履行个人信息保护职责的部门履行下列个人信息保护职责:
(一)开展个人信息保护宣传教育,指导、监督个人信息处理者开展个人信息保护工作;
(三)调查、处理违法个人信息处理活动;
(四)法律、行政法规规定的其他职责。
本条明确了履行个人信息保护职责的部门的工作内容和职责。
本条明确了国家网信部门和国务院有关部门的工作内容和职责。
就个人信息保护的有关规则和标准的制定工作而言，由于其直接影响全国各地的适用效果，因此只能由国家网信部门和国务院有关部门负责落实，以更好推进个人信息保护社会化服务体系建设。
第五十九条履行个人信息保护职责的部门履行个人信息保护职责,可以采取下列措施:
(一)询问有关当事人,调查与个人信息处理活动有关的情况;
(二)查阅、复制当事人与个人信息处理活动有关的合同、记录、账簿以及其他有关资料;
(三)实施现场检查,对涉嫌违法个人信息处理活动进行调查;
(四)检查与个人信息处理活动有关的设备、物品;对有证据证明是违法个人信息处理活动的设备、物品,可以查封或者扣押。
履行个人信息保护职责的部门依法履行职责,当事人应当予以协助、配合,不得拒绝、阻挠。
本条规定了履行个人信息保护职责的部门履行个人信息保护职责可采取的措施。
本条明确了履行个人信息保护职责的部门的工作方式，并通过法律指引的形式，为其提供了相应法律依据。相反，也为公民履行相应行政监督权提供了参考标准。
第六十条履行个人信息保护职责的部门在履行职责中,发现个人信息处理活动存在较大风险或者发生个人信息安全事件的,可以按照规定的权限和程序对该个人信息处理者的法定代表人或者主要负责人进行约谈。个人信息处理者应当按照要求采取措施,进行整改,消除隐患。
本条赋予了履行个人信息保护职责的部门对个人信息处理者进行约谈和提出整改的权限。
本条赋予了履行个人信息保护职责的部门存在较大风险或者发生个人信息安全事件相应的认定权。此外，对个人信息处理者的法定代表人或者主要负责人进行约谈既是一种义务，也是一种权利，通过约谈的形式可以更好的进行有效监督。由于《个人信息保护法》第五十三条已经要求个人信息处理者定期进行审计，因此，监管部门还可以在委托律师事务所进行审计后，根据审计结果，要求个人信息处理者进行整改并消除隐患。
第六十一条任何组织、个人有权对违法个人信息处理活动向履行个人信息保护职责的部门进行投诉、举报。收到投诉、举报的部门应当依法及时处理,并将处理结果告知投诉、举报人。履行个人信息保护职责的部门应当公布接受投诉、举报的联系方式。
本条规定了“投诉、举报制度”的设立要求。
需要注意，本条所指的“投诉、举报制度”是从行政监管角度出发的，对个人信息处理者内部的投诉和举报的处理流程和方式，并不包含在本条范围内。此外，无论是否具有利害关系，任何组织和个人都有权对其认为违法违规的个人信息处理者进行投诉和举报。一旦收到此类投诉和举报信函，无论是中央，还是地方归口的监管部门就应当按照本条相应规定进行处置。如果监管部门未按要求或者延期处置的，可能会被认定为行政违法或不作为。
第七章法律责任
第六十二条违反本法规定处理个人信息,或者处理个人信息未按照规定采取必要的安全保护措施的,由履行个人信息保护职责的部门责令改正,没收违法所得,给予警告;拒不改正的,并处一百万元以下罚款;对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款。
有前款规定的违法行为,情节严重的,由履行个人信息保护
本条明确了个人信息处理者违法后的法律责任。
本条设置处罚的幅度和范围相较于《网络安全法》而言显然更为严厉了，其引入了类似于欧盟GDPR第八十三条的惩罚性赔偿制度，来对违法行为进行惩罚，加大了个人信息处理者的违法成本。
第六十三条有本法规定的违法行为的,依照有关法律、行政法规的规定记入信用档案,并予以公示。
本条规定了“信用档案制度”的建立和使用。
本条借鉴了《电子商务法》第七十条和第八十六条的规定，建立和使用“信用档案制度”将对整个个人信息保护来说更为有益。此外，对于违法、违规企业的信息公示，将加大其违法成本和商业信誉的影响，创建出“良币驱逐劣币”的良好环境。
第六十四条国家机关不履行本法规定的个人信息保护义务的,由其上级机关或者履行个人信息保护职责的部门责令改正;对直接负责的主管人员和其他直接责任人员依法给予处分。
本条明确了国家机关不履行个人信息保护义务的法律责任。
对于国家机关不履行个人信息保护义务的，不仅需要由上级主管部门责令其改正，还将处罚责任落实到人，促进其更好地履行自身监管职能的作用。
第六十五条因个人信息处理活动侵害个人信息权益的,按照个人因此受到的损失或者个人信息处理者因此获得的利益承担赔偿责任;个人因此受到的损失和个人信息处理者因此获得的利益难以确定的,由人民法院根据实际情况确定赔偿数额。个人信息处理者能够证明自己没有过错的,可以减轻或者免除责任。
本条建立了“个人信息公益诉讼制度”。
我国公益诉讼的提出一般较为严格，需要具备一定的社会性，也需要明确的法律依据作为支撑。因此，本条设置的目的给了检察机关、消费者权益保护组织等单位提起个人信息公益诉讼的权利，为维护侵害众多个人权益的个体，提供了获取救济的可能。
第六十七条违反本法规定,构成违反治安管理行为的,依法给予治安管理处罚;构成犯罪的,依法追究刑事责任。
本条明确了个人信息违法后可能面临的刑事或者行政处罚。
本条沿用了《网络安全法》、《电子商务法》等法律的规定，将违反《个人信息保护法》的行为，视情节不同，明确划分为行政处罚和刑事处罚两档，供公安机关予以处理。
第八章附则
第六十八条自然人因个人或者家庭事务而处理个人信息的,不适用本法。
法律对各级人民政府及其有关部门组织实施的统计、档案管理活动中的个人信息处理有规定的,适用其规定。
本条明确了不适用本法的两类特殊情况。
个人信息作为一种“私权”，倘若以处理家庭事务为目的，进而发生在个体间的信息处理行为，由于其社会影响力较小，也不存在法律需要进一步细化调整的必要，因此排除在《个人信息保护法》调整的范围外。
第六十九条本法下列用语的含义:
(一)个人信息处理者,是指自主决定处理目的、处理方式
等个人信息处理事项的组织、个人。
(二)自动化决策,是指利用个人信息对个人的行为习惯、兴趣爱好或者经济、健康、信用状况等,通过计算机程序自动分析、评估并进行决策的活动。
(三)去标识化,是指个人信息经过处理,使其在不借助额外信息的情况下无法识别特定自然人的过程。
(四)匿名化,是指个人信息经过处理无法识别特定自然人且不能复原的过程。
本条明确了几个重要的专业术语的概念。
本条明确了“个人信息处理者”、“自动化决策”、“去标识化”以及“匿名化”四个专业术语的概念。需要说明的是，虽然《个人信息保护法》对“去标识化”和“匿名化”进行了区分，但是在实务中仍较难界别。
一般来说，“匿名化”是经过“去标识化”加工后出现的产物。其所呈现的信息更为模式，即便借助外在和额外的信息，也无法进一步识别出个体信息。
“去标识化”虽然经过一定程度的处理，但是其在借助外在信息时有可能被予以识别，同时其原始数据也可能通过技术手段被予以还原。