逐条解读 |《个人信息保护法》定稿与二审稿18条改动对比

十三届全国人大常委会第三十次会议 8月20日 表决通过《中华人民共和国个人信息保护法》。个人信息保护法自2021年11月1日起施行。

解读：18条改动对比

《个人信息保护法》全文共8章74条

第一章总则

1、个人信息的处理环节：新增“删除”

（第五条）个人信息的处理包括了收集、存储、使用、加工、传输、提供、公开、删除等。

2、个人信息收集规范

（第六条）处理个人信息应当具有明确、合理的目的，并应当与处理目的直接相关，采取对个人权益影响最小的方式。

收集个人信息，应当限于实现处理目的的最小范围，不得过度收集个人信息。

（第十条）任何组织、个人不得非法收集、使用、加工、传输他人个人信息，不得非法买卖、提供或者公开他人个人信息；不得从事危害国家安全、公共利益的个人信息处理活动。

第二章个人信息处理********规定

3、个人信息处理者在哪些情形下可以处理个人信息

按照（第十三条、第十四条、第十五条和第三十一条规定）规定，分为3种类型：

（1）取得个人的同意：

该同意应当由个人在充分知情的前提下自愿、明确作出，并且取得个人单独同意或者书面同意。

个人信息的处理目的、处理方式和处理的个人信息种类发生变更的，需要重新取得个人同意。

个人有权撤回其同意，而个人信息处理者应当提供便捷的撤回同意的方式。不过不影响撤回前基于个人同意已经进行的个人信息处理活动的效力。

（2）不取得个人同意，但必须满足以下6种情形：

（二）为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需；

（三）为履行法定职责或者法定义务所必需；

（四）为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需；

（五）为公共利益实施新闻报道、舆论监督等行为，在合理的范围内处理个人信息；

（六）依照本法规定在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息；（但根据第二十七条，个人明确拒绝的除外，对个人权益有重大影响的也应当取得个人同意）

（七）法律、行政法规规定的其他情形。

（3）个人信息处理者处理不满十四周岁未成年人个人信息的，应当取得未成年人的父母或者其他监护人的同意。

4、个人信息的保存期限

（第十九条）　除法律、行政法规另有规定外，个人信息的保存期限应当为实现处理目的所必要的最短时间。

5、个人信息使用规范

（1）自动化决策

根据（第二十四条），个人信息处理者利用个人信息进行自动化决策，向个人进行信息推送、商业营销时，应同时提供不针对其个人特征的选项，或者向个人提供便捷的拒绝方式。

（2）不得随意公开

根据（第二十五条）　除非取得个人单独同意，否则个人信息处理者不得公开其处理的个人信息。

第三章　个人信息跨境提供的规则

6、跨境提供个人信息，应当具备以下条件

（第三十八条）　个人信息处理者因业务等需要，确需向中华人民共和国境外提供个人信息的，应当具备下列条件之一：

（一）依照本法第四十条的规定通过国家网信部门组织的安全评估；

（二）按照国家网信部门的规定经专业机构进行个人信息保护认证；

（三）按照国家网信部门制定的标准合同与境外接收方订立合同，约定双方的权利和义务；

（四）法律、行政法规或者国家网信部门规定的其他条件。

中华人民共和国缔结或者参加的国际条约、协定对向中华人民共和国境外提供个人信息的条件等有规定的，可以按照其规定执行。

个人信息处理者应当采取必要措施，保障境外接收方处理个人信息的活动达到本法规定的个人信息保护标准。

7、跨境提供个人信息，个人具备知情权

根据（第三十九条），应当向个人告知境外接收方的名称或者姓名、联系方式、处理目的、处理方式、个人信息的种类以及个人向境外接收方行使本法规定权利的方式和程序等事项，并取得个人的单独同意。

根据（第四十一条），中华人民共和国主管机关根据有关法律和中华人民共和国缔结或者参加的国际条约、协定，或者按照平等互惠原则，处理外国司法或者执法机构关于提供存储于境内个人信息的请求。非经中华人民共和国主管机关批准，个人信息处理者不得向外国司法或者执法机构提供存储于中华人民共和国境内的个人信息。

第四章　个人在个人信息处理活动中的权利

8、个人对其个人信息的处理享有知情权、决定权

根据（第四十五条）个人有权向个人信息处理者查阅、复制其个人信息。个人请求将个人信息转移至其指定的个人信息处理者，符合国家网信部门规定条件的，个人信息处理者应当提供转移的途径。

第四十九条　如果自然人死亡，其近亲属为了自身的合法、正当利益，可以对死者的相关个人信息行使本章规定的查阅、复制、更正、删除等权利；死者生前另有安排的除外。

第五章　个人信息处理者的义务

9、（第五十六条）个人信息保护影响评估

个人信息保护影响评估报告和处理情况记录应当至少保存三年。评估包含：

（一）个人信息的处理目的、处理方式等是否合法、正当、必要；

（二）对个人权益的影响及安全风险；

（三）所采取的保护措施是否合法、有效并与风险程度相适应。

10、（第五十七条）发生或者可能发生个人信息泄露、篡改、丢失情况的措施

（1）个人信息处理者应当立即采取补救措施，并通知履行个人信息保护职责的部门和个人。

（2）通知包括：发生或者可能发生个人信息泄露、篡改、丢失的信息种类、原因和可能造成的危害；个人信息处理者采取的补救措施和个人可以采取的减轻危害的措施；个人信息处理者的联系方式.