2. 核心法律框架精要
在个人信息监管执法与企业整改实务中，执法人员和企业合规人员最先遇到的困惑往往不是“有没有违法”，而是“该用哪部法、哪一条、由谁管”。我国目前形成了以《网络安全法》《数据安全法》《个人信息保护法》为支柱，辅以《民法典》人格权编、《刑法》相关罪名以及大量行政法规、部门规章和标准的规范体系。三法之间不是简单的替代关系，而是各有侧重、相互衔接、存在适用顺序的“三角结构”。理解这一结构，是后续判断执法主体、法律依据、处罚幅度和整改方向的前提。
一、三法的定位差异：从“网络运行”到“数据”再到“个人信息”
《网络安全法》于2017年6月1日施行，是我国网络领域的基础性法律。它的核心对象是“网络”本身，重点在于网络运行安全、网络信息安全以及关键信息基础设施保护。其中与个人信息直接相关的条款主要是第四十条至第四十五条：网络运营者收集、使用个人信息应当遵循合法、正当、必要原则，公开收集使用规则，明示目的方式和范围并经被收集者同意；不得泄露、篡改、毁损其收集的个人信息；发生或者可能发生信息泄露、毁损、丢失的，应当立即采取补救措施并告知用户和有关主管部门。第四十二条还规定了网络运营者不得泄露、篡改、毁损其收集的个人信息，未经被收集者同意不得向他人提供。这些条款是早期个人信息执法的主要依据。
《数据安全法》于2021年9月1日施行，核心对象是“数据”这一更宽泛的客体，包括电子数据和其他方式对信息的记录。它建立了数据分类分级保护制度、数据安全审查制度、数据出口管制以及数据安全应急处置机制。对个人信息而言，数据安全法并不直接规定“告知同意”等处理规则，而是从数据安全角度要求开展数据处理活动应当建立健全全流程数据安全管理制度、组织开展数据安全教育培训、采取相应技术措施和其他必要措施保障数据安全。重要数据的处理者还应当明确数据安全负责人和管理机构，定期开展风险评估并报送风险评估报告。
《个人信息保护法》于2021年11月1日施行，是三法中专门针对个人信息处理活动的最直接、最具体的法律。它确立了处理个人信息的合法性基础（同意、合同必需、法定义务、公共利益等）、告知同意规则、敏感个人信息特别保护、个人权利（知情、决定、查阅、复制、更正、删除、可携带等）、个人信息处理者义务、跨境提供规则以及公益诉讼和惩罚性赔偿等制度。在执法实践中，只要涉及对自然人个人信息的收集、存储、使用、加工、传输、提供、公开、删除等处理活动，个人信息保护法通常是第一顺位的实体法依据。
二、执法适用关系：不是“三选一”，而是“分层适用”
三法在执法适用上呈现明显的层次关系。可以用一个判断路径来理解：先看行为是否涉及“个人信息处理”，若是，则优先适用《个人信息保护法》的具体规则；同时，由于个人信息通常以数据形式存在，若涉及数据安全管理制度、分类分级、重要数据等，则叠加适用《数据安全法》；若处理活动依托网络系统且涉及网络运行安全、网络日志留存、关键信息基础设施等，则再叠加适用《网络安全法》。
需要特别注意的是“一事不再罚”与“竞合处理”。同一违法行为可能同时违反两部以上法律，例如某App运营者未取得用户同意收集人脸信息并泄露，既违反《个人信息保护法》第十三条、第二十九条关于敏感个人信息单独同意的规定，也可能违反《网络安全法》第四十二条关于不得泄露个人信息的规定。此时执法机关一般按照“上位法优于下位法、特别法优于一般法、新法优于旧法”的原则选择适用，但在罚款幅度上会考虑违法行为的整体情节，避免重复处罚。实务中，网信部门办理个人信息案件时，常以《个人信息保护法》第六十六条为主要处罚依据，同时引用《网络安全法》相关条款作为行为定性支撑。
三、关键条款速查与执法适用对照
下表梳理了三法中最常被执法引用的关键条款及其适用场景，便于在案件研判和整改对标时快速定位。
| 法律 | 关键条款 | 核心内容 | 典型执法适用场景 |
|---|---|---|---|
| 个人信息保护法 | 第十三条、第十四条 | 处理个人信息的合法性基础；同意应当自愿、明确 | App强制索权、默认勾选、捆绑同意 |
| 个人信息保护法 | 第十七条、第二十九条 | 告知义务；敏感个人信息单独同意 | 未告知收集目的、人脸/行踪/医疗信息未单独同意 |
| 个人信息保护法 | 第五十一条、第六十六条 | 处理者安全义务；违法处理的法律责任 | 未制定内部制度、未分类管理、罚款与责令暂停业务 |
| 数据安全法 | 第二十七条、第二十九条 | 数据安全管理制度、风险监测与补救 | 未建立全流程安全制度、发生数据泄露未及时补救 |
| 数据安全法 | 第三十条、第四十五条 | 重要数据风险评估与报送；违法责任 | 重要数据处理者未定期评估、未报送风险评估报告 |
| 网络安全法 | 第四十条、第四十一条 | 网络运营者收集使用个人信息的原则与规则 | 未公开收集使用规则、超范围收集 |
| 网络安全法 | 第四十二条、第四十三条 | 不得泄露、篡改、毁损；不得非法提供；个人要求删除更正 | 信息泄露、非法向第三方提供、拒绝删除 |
四、执法适用关系图
下图以“行为—法律—执法主体—责任形式”为主线，展示三法在个人信息执法中的分层适用关系。图中左侧为行为类型，中间为对应法律依据，右侧为常见执法主体与责任形式，箭头表示适用指向而非替代关系。
五、企业整改中的对标要点
对企业而言，理解三法关系最终要落到整改动作上。建议按以下顺序建立合规基线：第一，以《个人信息保护法》为操作手册，逐项核对处理规则、告知同意、个人权利响应、跨境传输和委托处理协议；第二，以《数据安全法》为管理制度框架，建立数据分类分级清单、重要数据目录、安全负责人制度和年度风险评估机制；第三，以《网络安全法》为技术底座，落实网络安全等级保护、日志留存不少于六个月、漏洞管理和应急演练。三者在整改台账中可以合并为一张“法律依据—现状—差距—整改措施—完成时限—验证方式”的对照表，但法律依据栏必须分别标注具体法条，避免笼统写“依据三法”而无法追溯。
最后需要强调，三法之间不存在“选一部遵守即可”的空间。个人信息处理活动天然同时落入三法的调整范围，区别只在于执法机关选择哪一条作为主要定性依据、哪一条作为补充。企业合规的正确姿态是“三法同时对标、重点突出个保”，在制度、技术、合同、培训、审计五个层面形成闭环，才能在监管检查中做到依据清晰、证据完整、整改可验证。