第三章
个人信息保护法（PIPL）精讲
立法背景 · 关键条款 · 合规要点 · 处罚案例 —— 全方位拆解中国数据保护核心法。
📌 1. 立法背景与驱动
PIPL 是在数字经济爆发、数据泄露与滥用事件频发的背景下诞生，借鉴 GDPR 但强化了中国特色，如敏感个人信息、跨境传输安全评估、大型平台守门人义务等。
⚖️ 2. 关键条款与义务
📋 第13条
合法性基础：同意、合同、法定职责、紧急保护等7项。
合法性基础：同意、合同、法定职责、紧急保护等7项。
🔒 第28条
敏感个人信息：生物识别、医疗健康、金融账户、行踪轨迹等。
敏感个人信息：生物识别、医疗健康、金融账户、行踪轨迹等。
🌐 第38条
跨境传输：安全评估、标准合同、认证。
跨境传输：安全评估、标准合同、认证。
🏢 第58条
大型平台：独立监督机构、社会责任报告、算法合规。
大型平台：独立监督机构、社会责任报告、算法合规。
| 条款 | 核心内容 | DPO关注点 |
|---|---|---|
| 第6条 | 最小必要原则 | 收集范围与目的直接相关 |
| 第15条 | 撤回同意权 | 提供便捷撤回机制 |
| 第45条 | 查阅复制权 | 建立响应流程 |
| 第55条 | 个人信息保护影响评估 | 高风险处理前强制评估 |
| 第66条 | 处罚：最高5000万或上年营收5% | 合规红线 |
🛡️ 3. 合规要点与落地框架
DPO 需建立覆盖全生命周期的合规框架：从同意采集、影响评估、跨境传输到响应删除权。尤其注意大型平台的独立监督机构义务。
⚠️ 4. 典型处罚案例
📌 案例1：某出行巨头 —— 违规收集敏感个人信息（位置、通讯录），国家网信办依据PIPL第66条处以人民币80.26亿元罚款，并责令整改。CEO及责任人承担个人责任。
📌 案例2：某知名电商 —— 未经同意向第三方共享用户数据，且未做影响评估。罚款5700万元，暂停新用户注册90天。
📌 案例3：某金融APP —— 强制同意、超范围收集人脸信息，被处以4500万元罚款，相关责任人被禁业。
# 合规红线速查 (PIPL) 1. 未取得个人同意/撤回后继续处理 → 违法 2. 未进行个人信息保护影响评估（高风险） → 可罚5000万 3. 向境外提供重要数据未通过安全评估 → 最高5%年营收 4. 大型平台未设独立监督机构 → 责令改正+通报
🧠 5. PIPL知识图谱：核心概念关系
个人信息→处理活动→合规义务，其中敏感个人信息与影响评估是PIPL的两大支柱。DPO必须掌握合法性基础、最小必要、透明度三驾马车。