中国合规
法律依据：PIPL — 自 2021 年 11 月 1 日起施行
《中华人民共和国个人信息保护法》（PIPL） — 整合文本，已对齐我们的全球合规。
第一章 — 总则
第一条至第四条 为保护个人信息权益、规范个人信息处理活动、促进个人信息合理利用，根据宪法制定本法。任何自然人的个人信息受法律保护。本法适用于在中华人民共和国境内处理自然人个人信息的活动；在境外处理境内自然人个人信息，以向其提供产品或服务、或分析评估其行为为目的的，亦适用本法。个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息；处理包括个人信息的收集、存储、使用、加工、传输、提供、公开、删除等。
第五条至第九条 处理个人信息应遵循合法、正当、必要和诚信原则；应具有明确、合理的目的，并与处理目的直接相关，采取对个人权益影响最小的方式，限于实现目的的最小范围；应遵循公开、透明原则，公开处理规则；应保证信息质量；个人信息处理者应对其处理活动负责，并采取必要的安全保护措施。
第十条至第十二条 任何组织、个人不得非法收集、使用、加工、传输他人个人信息，不得非法买卖、提供或者公开他人个人信息，不得从事危害国家安全、公共利益的个人信息处理活动。国家建立健全个人信息保护制度，并积极参与个人信息保护国际规则的制定、推进国际交流与合作。
第二章 — 个人信息处理规则
第一节 — 一般规定
第十三条至第十七条 具有下列情形之一的，处理者方可处理个人信息：取得个人同意；为订立、履行个人为一方当事人的合同，或按照依法制定的劳动规章制度实施人力资源管理所必需；为履行法定职责或法定义务所必需；为应对突发公共卫生事件，或紧急情况下为保护自然人的生命健康和财产安全所必需；在合理范围内为公共利益实施新闻报道、舆论监督；以及依法在合理范围内处理个人自行公开或已合法公开的个人信息。同意应在充分知情的前提下自愿、明确作出；法律、行政法规规定应取得单独同意或书面同意的，从其规定。个人有权随时通过便捷方式撤回同意；不得以个人不同意或撤回同意为由拒绝提供产品或服务，但处理个人信息属提供产品或服务所必需的除外。处理前应以显著方式、清晰易懂的语言真实、准确、完整地告知处理者的名称与联系方式、处理目的与方式、信息种类与保存期限，以及行使权利的方式和程序。
第十八条至第二十七条 特别规则涵盖：在法律规定应保密或紧急情况下可不予告知；保存期限应为实现处理目的所必要的最短时间；共同处理者约定各自权利义务并对损害承担连带责任；委托处理应约定目的、期限、方式、信息种类与保护措施，未经同意不得转委托；因合并、分立、解散、破产等转移信息应告知个人；向其他处理者提供须取得单独同意并告知；利用自动化决策应保证透明度和结果公平，不得实行不合理的差别待遇并提供拒绝的选项；未经单独同意不得公开所处理的个人信息；在公共场所安装图像采集与身份识别设备须限于维护公共安全所必需并设显著提示标识；对个人自行公开或已合法公开的信息可在合理范围内处理，个人明确拒绝的除外。
第二节 — 敏感个人信息的处理规则
第二十八条至第三十二条 敏感个人信息是一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。只有在具有特定的目的和充分的必要性，并采取严格保护措施的情形下方可处理，且应取得单独同意（法律、行政法规规定应取得书面同意的，从其规定），并告知处理的必要性及对个人权益的影响。处理不满十四周岁未成年人个人信息的，应取得其父母或者其他监护人的同意，并制定专门的处理规则。
第三节 — 国家机关处理个人信息的特别规定
第三十三条至第三十七条 国家机关处理个人信息的活动适用本法，本节另有规定的从其规定。国家机关为履行法定职责处理个人信息，应依照法律、行政法规规定的权限、程序进行，不得超出履行法定职责所必需的范围和限度。除依法应保密或告知将妨碍其履行法定职责的情形外，应履行告知义务。所处理的信息应在境内存储；确需向境外提供的，应进行安全评估。法律、法规授权的具有管理公共事务职能的组织处理个人信息，适用本法关于国家机关的规定。
第三章 — 个人信息跨境提供的规则
第三十八条至第四十三条 因业务等需要确需向境外提供个人信息的，处理者应具备下列条件之一：通过国家网信部门组织的安全评估；按照国家网信部门的规定经专业机构进行个人信息保护认证；按照国家网信部门制定的标准合同与境外接收方订立合同，约定双方的权利和义务；或符合法律、行政法规或国家网信部门规定的其他条件。处理者应采取必要措施，保障境外接收方的处理活动达到本法规定的保护标准，并向个人告知境外接收方的名称、联系方式、处理目的与方式、信息种类，取得单独同意。关键信息基础设施运营者和处理个人信息达到规定数量的处理者，应在境内存储，确需提供的须通过安全评估。对外国司法或执法机构请求提供存储于境内个人信息的，非经主管机关批准不得提供；对采取歧视性措施的国家或地区，中国可对等采取相应措施。
第四章 — 个人在个人信息处理活动中的权利
第四十四条至第五十条 个人对其个人信息的处理享有知情权、决定权，有权限制或者拒绝他人处理。个人有权向处理者查阅、复制其个人信息，并有权请求将信息转移至其指定的处理者。发现信息不准确或不完整的，有权请求更正、补充。在处理目的已实现、无法实现或不再必要，服务停止或保存期限届满，撤回同意，或处理违反法律、约定等情形下，处理者应主动删除，未删除的个人有权请求删除。个人有权请求处理者对其处理规则进行解释说明；自然人死亡的，其近亲属为自身合法、正当利益可对死者的相关个人信息行使查阅、复制、更正、删除等权利。处理者应建立便捷的申请受理和处理机制，拒绝请求的应说明理由，个人可依法向人民法院提起诉讼。
第五章 — 个人信息处理者的义务
第五十一条至第五十九条 处理者应采取措施确保处理活动合规并防止未经授权的访问以及个人信息泄露、篡改、丢失，包括制定内部管理制度和操作规程、对信息实行分类管理、采取加密与去标识化等技术安全措施、合理确定操作权限并定期开展安全教育培训、制定并实施安全事件应急预案等。处理个人信息达到规定数量的，应指定个人信息保护负责人并予以公开。境内适用本法的境外处理者，应在中国境内设立专门机构或指定代表。处理者应定期进行合规审计；在处理敏感个人信息、利用自动化决策、委托/提供/公开个人信息、跨境提供，以及其他对个人权益有重大影响的处理活动前，应事先进行个人信息保护影响评估并留存记录（至少保存三年）。发生或可能发生泄露、篡改、丢失的，应立即采取补救措施并通知主管部门和受影响的个人。提供重要互联网平台服务的大型处理者负有额外义务，包括设立独立监督机构、制定公平的平台规则、对严重违法者停止提供服务，并定期发布社会责任报告。
第六章 — 履行个人信息保护职责的部门
第六十条至第六十五条 国家网信部门负责统筹协调个人信息保护工作，国务院有关部门在各自职责范围内负责个人信息的保护、监督和管理。其职责包括开展宣传教育、指导监督，受理并处理投诉举报，组织对应用程序的评估并公布结果，调查处理违法处理活动等。履行职责时可询问当事人、查阅复制相关资料、进行现场检查，并在经主要负责人书面批准后查封、扣押违法使用的设备。任何组织和个人有权向主管部门投诉、举报，主管部门应及时处理并向社会公布受理渠道。
第七章 — 法律责任
第六十六条至第七十一条 违法处理个人信息或未履行安全保护义务的，由主管部门责令改正、给予警告、没收违法所得，并对违法应用程序责令暂停或终止提供服务；拒不改正的，并处一百万元以下罚款，对直接负责的主管人员和其他责任人员处一万元以上十万元以下罚款。情节严重的，由省级以上主管部门责令改正、没收违法所得，并处五千万元以下或上一年度营业额百分之五以下罚款，可责令暂停相关业务或停业整顿、通报有关主管部门吊销营业执照；对直接责任人员处十万元以上一百万元以下罚款，并可禁止其在一定期限内担任董事、监事、高级管理人员和个人信息保护负责人。违法行为记入信用档案。侵害众多个人权益的，可提起公益诉讼；构成犯罪的，依法追究刑事责任。
第八章 — 附则
第七十二条至第七十四条 自然人因个人或者家庭事务处理个人信息的，不适用本法。本法就个人信息处理者、自动化决策、去标识化及匿名化（一种技术上不可逆的处理过程）等术语作出界定。本法自 2021 年 11 月 1 日起施行。
国际原始文本可直接在中国全国人民代表大会立法公开门户查阅。
访问原文出处（中国全国人民代表大会）