1. 课程导入与全景认知
个人信息保护合规不是“把隐私政策写长一点”这么简单。它同时受法律规则、监管分工、技术实现和业务运营四条线约束：一条线决定“能不能收集、能收集到什么程度”，一条线决定“谁来查、按什么程序查”，一条线决定“系统里数据实际怎么流动”，还有一条线决定“出了问题企业怎么改、改到什么程度算合格”。本课程围绕《个人信息保护法》《数据安全法》《网络安全法》及配套规章、国家标准，把监管执法的逻辑与企业整改的动作对应起来，帮助学员建立一张可操作的全景图。
一、法律体系：三层规则，各有各的约束力
理解法律体系，关键是分清“法律—行政法规—部门规章与国家标准”三层的效力差异，以及它们分别约束什么。
- 第一层：法律。《个人信息保护法》是核心，规定处理个人信息的合法性基础（同意、合同必需、法定义务、公共利益等）、告知义务、单独同意情形（敏感个人信息、向第三方提供、公开、跨境等）、个人权利（查阅、复制、更正、删除、可携带、解释说明）、处理者义务与法律责任。《数据安全法》侧重数据分类分级、重要数据目录与安全评估；《网络安全法》侧重网络运行安全、日志留存与等级保护。三者交叉适用，同一行为可能同时触发多部法律。
- 第二层：行政法规与部门规章。如《网络数据安全管理条例》《个人信息出境标准合同办法》《数据出境安全评估办法》《App违法违规收集使用个人信息行为认定方法》等，把法律要求落到具体申报、评估、备案、整改动作上。
- 第三层：国家标准与行业规范。GB/T 35273《个人信息安全规范》、GB/T 42574《个人信息处理中告知和同意的实施指南》等，虽不直接设定行政处罚，但常被监管作为“合规基线”引用，也是企业做差距分析最实用的对照表。
需要特别注意的是：“告知—同意”不是万能钥匙。即使拿到同意，超范围收集、强制索权、捆绑授权、频繁弹窗骚扰仍可能被认定为违法；而基于合同必需、法定义务等合法性基础处理信息时，又必须把范围严格限定在“必需”之内。判断合法性，先看有没有合法性基础，再看范围是否最小必要，最后看是否履行了对应告知与权利保障。
二、执法主体：谁在查，查什么，怎么查
个人信息监管是“多头共治”格局，不同主体关注点不同，企业面对不同检查时准备材料也应有所侧重。
- 网信部门：统筹协调个人信息保护与数据出境监管，负责个人信息出境安全评估、标准合同备案、大型平台合规审计等，是跨境场景的主要窗口。
- 市场监管部门：查处App侵害消费者权益、虚假宣传、不正当竞争等行为，常与“3·15”曝光、消费者投诉联动。
- 工信部门：负责App技术检测、通报下架、SDK治理，重点看权限调用、自启动、后台收集等行为。
- 公安部门：负责打击侵犯公民个人信息犯罪，同时开展网络安全监督检查，关注日志留存、等级保护与数据泄露事件。
- 行业主管部门：金融、医疗、教育、交通等各有细化规定，如金融领域的个人金融信息保护技术规范、医疗领域的健康医疗数据管理要求。
执法手段通常包括：远程技术检测、现场检查、询问调查、调取后台数据与日志、委托第三方检测、约谈与责令整改、行政处罚与公开通报。企业应对时，最忌讳“临时补材料”——监管往往同时比对线上实际行为、后台日志与书面制度，三者不一致极易被认定为“制度空转”。
三、企业整改的总体要求：从“纸面合规”到“可验证合规”
整改不是写一份整改报告就结束。有效的整改要满足四个条件：问题可定位、措施可执行、效果可验证、责任可追溯。具体落到动作上，通常包括：
- 建立个人信息处理活动清单。按业务线梳理收集了哪些字段、来源是什么、存到哪里、传给谁、保存多久、谁有权限访问。没有这张清单，后续所有评估都是空谈。
- 逐项对照合法性基础与最小必要。对每个字段问三个问题：不收集行不行？少收集行不行？保存这么久行不行？
- 补齐告知与同意链路。隐私政策、弹窗、单独同意、撤回同意入口、第三方共享清单要能互相对应，且与实际SDK、接口调用一致。
- 落实个人权利响应机制。查阅、复制、更正、删除、注销账号等请求要有入口、有时限、有记录，通常要求在15个工作日内响应。
- 建立安全措施与事件响应。加密、去标识化、访问控制、日志审计、泄露通知流程要能拿出证据，而不是只写在制度里。
四、课程学习地图：从认知到落地
本课程共30章，整体按“认知—规则—执法—整改—专项—复盘”推进。前段建立法律体系与执法主体认知；中段拆解告知同意、敏感信息、跨境、SDK、算法推荐等高频场景的合规要求与执法要点；后段聚焦企业整改实操，包括差距评估、整改方案、证据留存、内部审计与应急响应；最后通过典型案例复盘，把规则还原成可复用的判断路径。
从这张全景图可以看到，法律体系提供“依据”，执法主体形成“驱动”，企业整改形成“闭环”，而课程学习地图则把30章内容串成一条从认知到落地的路径。后续每一章都会回到同一条主线：规则要求什么、执法看什么、企业改什么、如何证明改到位。掌握这条主线，面对具体场景时就不会只记住零散条款，而能快速判断风险优先级和整改动作。