一、合规概述：个人信息保护法立法背景、核心原则、适用范围与基本概念

1.1 立法背景

随着数字经济的蓬勃发展，个人信息被大量收集、利用甚至滥用，侵害公民权益的事件频发。为回应社会关切、保障公民合法权益、促进数据要素合规流通，我国于2021年8月20日通过《中华人民共和国个人信息保护法》（以下简称“《个保法》”），并于2021年11月1日正式施行。该法与《网络安全法》《数据安全法》共同构成我国网络空间治理的“三驾马车”。

📌 立法驱动因素

现实需求：APP违规收集、大数据杀熟、人脸识别滥用等问题突出。
国际趋势：欧盟GDPR、美国CCPA等域外立法推动全球数据保护浪潮。
法律衔接：与《民法典》人格权编、《网络安全法》等上位法及平行法协调统一。
数字经济发展：平衡“保护”与“利用”，构建可信数据生态。

1.2 核心原则

《个保法》确立了个人信息处理活动的七项核心原则，贯穿合规体系始终，是理解与适用法律的基石。

原则名称	核心内涵	合规要点
合法、正当、必要	不得误导、欺诈、胁迫；不得过度收集	最小必要清单、隐私政策透明
诚信原则	真实、准确、完整地告知，不得隐瞒	禁止“默认勾选”“一揽子同意”
目的限制	处理目的明确、合理，变更需重新同意	目的变更评估、单独同意
公开透明	公开处理规则，明示目的、方式、范围	隐私政策、弹窗告知
质量保障	保证个人信息准确、完整，及时更新	数据清洗、异议处理机制
权责一致	处理者对其处理活动负责，采取保护措施	DPO、PIA、安全管理制度
安全保护	防止泄露、篡改、丢失，采取技术与管理措施	加密、脱敏、访问控制、应急响应

1.3 适用范围

《个保法》第3条明确了其属地+保护性管辖的适用范围，涵盖境内处理活动与特定境外处理活动。

🏠 境内适用（第3条第1款）

在中华人民共和国境内处理自然人个人信息的活动
无论处理者是否为境内主体，只要处理行为发生在境内
涵盖线上与线下场景

🌍 境外适用（第3条第2款）

以向境内自然人提供产品或者服务为目的
分析、评估境内自然人的行为
法律、行政法规规定的其他情形

📋 适用排除情形

自然人因个人或者家庭事务处理个人信息（如亲友通讯录）
法律、法规另有规定的（如统计、档案管理、国家安全等）

1.4 基本概念

准确理解核心概念是合规工作的起点，以下为《个保法》中最重要的几个定义：

👤 个人信息

以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。

例：姓名、身份证号、行踪轨迹、生物识别信息等

⚙️ 处理

包括个人信息的收集、存储、使用、加工、传输、提供、公开、删除等全生命周期活动。

任何环节均需合规

🏢 个人信息处理者

自主决定处理目的和方式的组织、个人。承担主要合规义务与法律责任。

区别于“受托处理者”

🔒 匿名化 vs 去标识化

匿名化：处理后无法识别特定自然人且不可复原（不属于个人信息）。
去标识化：处理后借助额外信息方可识别（仍属于个人信息）。

📂 敏感个人信息

一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息。

包括：生物识别、金融账户、行踪轨迹、不满十四周岁未成年人信息等

📜 同意

个人在充分知情的前提下自愿、明确作出意思表示。分为一般同意、单独同意、书面同意等。

敏感信息、向第三方提供等场景需“单独同意”

1.5 合规速查清单（本节要点）

📌 合规自查要点（本节）：
  ✅ 是否理解《个保法》的立法背景与“三驾马车”体系？
  ✅ 是否掌握7项核心原则并嵌入业务流程？
  ✅ 是否准确判断业务是否落入境内/境外适用范围？
  ✅ 是否清晰区分“个人信息”“敏感个人信息”“匿名化”“去标识化”？
  ✅ 是否明确“处理者”与“受托处理者”的边界？
  ✅ 是否建立“同意”管理机制（一般同意 vs 单独同意）？

专注课程资料整理

📚 课程目录