中华人民共和国个人信息保护法
文章属性
∙【制定机关】全国人大常委会
∙【公布日期】2021.08.20
∙【文 号】中华人民共和国主席令第九十一号
∙【施行日期】2021.11.01
∙【效力等级】法律
∙【时效性】现行有效
∙【主题分类】公共信息网络安全监察
正文
中华人民共和国主席令
第九十一号
  《中华人民共和国个人信息保护法》已由中华人民共和国第十三届全国人民代表大会常务委员会第三十次会议于2021年8月20日通过，现予公布，自2021年11月1日起施行。
中华人民共和国主席　习近平
  2021年8月20日
中华人民共和国个人信息保护法
（2021年8月20日第十三届全国人民代表大会常务委员会第三十次会议通过）
目  录
  第一章　总  则
  第二章　个人信息处理规则
  第一节　一般规定
  第二节　敏感个人信息的处理规则
  第三节　国家机关处理个人信息的特别规定
  第三章　个人信息跨境提供的规则
  第四章　个人在个人信息处理活动中的权利
  第五章　个人信息处理者的义务
  第六章　履行个人信息保护职责的部门
  第七章　法律责任
  第八章　附  则
第一章　总  则
  第一条　为了保护个人信息权益，规范个人信息处理活动，促进个人信息合理利用，根据宪法，制定本法。
  第二条　自然人的个人信息受法律保护，任何组织、个人不得侵害自然人的个人信息权益。
  第三条　在中华人民共和国境内处理自然人个人信息的活动，适用本法。
  在中华人民共和国处理中华人民共和国境内自然人个人信息的活动，有下列情形之一的，也适用本法：
  （一）以向境内自然人提供产品或者服务为目的；
  （二）分析、评估境内自然人的行为；
  （三）法律、行政法规规定的其他情形。
  第四条　个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。
  个人信息的处理包括个人信息的收集、存储、使用、加工、传输、提供、公开、删除等。
  第五条　处理个人信息应当遵循合法、正当、必要和诚信原则，不得通过误导、欺诈、胁迫等方式处理个人信息。
  第六条　处理个人信息应当具有明确、合理的目的，并应当与处理目的直接相关，采取对个人权益影响最小的方式。
  收集个人信息，应当限于实现处理目的的最小范围，不得过度收集个人信息。
  第七条　处理个人信息应当遵循公开、透明原则，公开个人信息处理规则，明示处理的目的、方式和范围。
  第八条　处理个人信息应当保证个人信息的质量，避免因个人信息不准确、不完整对个人权益造成不利影响。
  第九条　个人信息处理者应当对其个人信息处理活动负责，并采取必要措施保障所处理的个人信息的安全。
  第十条　任何组织、个人不得非法收集、使用、加工、传输他人个人信息，不得非法买卖、提供或者公开他人个人信息；不得从事危害国家安全、公共利益的个人信息处理活动。
  第十一条　国家建立健全个人信息保护制度，预防和惩治侵害个人信息权益的行为，加强个人信息保护宣传教育，推动形成政府、企业、相关社会组织、公众共同参与个人信息保护的良好环境。
  第十二条　国家积极参与个人信息保护国际规则的制定，促进个人信息保护方面的国际交流与合作，推动与其他国家、地区、国际组织之间的个人信息保护规则、标准等互认。
第二章　个人信息处理规则
第一节　一般规定
  第十三条个人敏感信息　符合下列情形之一的，个人信息处理者方可处理个人信息：
  （一）取得个人的同意；
  （二）为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需；
  （三）为履行法定职责或者法定义务所必需；
  （四）为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需；
  （五）为公共利益实施新闻报道、舆论监督等行为，在合理的范围内处理个人信息；
  （六）依照本法规定在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息；
  （七）法律、行政法规规定的其他情形。
  依照本法其他有关规定，处理个人信息应当取得个人同意，但是有前款第二项至第七项规定情形的，不需取得个人同意。
  第十四条　基于个人同意处理个人信息的，该同意应当由个人在充分知情的前提下自愿、明确作出。法律、行政法规规定处理个人信息应当取得个人单独同意或者书面同意的，从其规定。
  个人信息的处理目的、处理方式和处理的个人信息种类发生变更的，应当重新取得个人同意。
  第十五条　基于个人同意处理个人信息的，个人有权撤回其同意。个人信息处理者应当提供便捷的撤回同意的方式。
  个人撤回同意，不影响撤回前基于个人同意已进行的个人信息处理活动的效力。
  第十六条　个人信息处理者不得以个人不同意处理其个人信息或者撤回同意为由，拒绝提供产品或者服务；处理个人信息属于提供产品或者服务所必需的除外。
  第十七条　个人信息处理者在处理个人信息前，应当以显著方式、清晰易懂的语言真实、准确、完整地向个人告知下列事项：
  （一）个人信息处理者的名称或者姓名和；
  （二）个人信息的处理目的、处理方式，处理的个人信息种类、保存期限；
  （三）个人行使本法规定权利的方式和程序；
  （四）法律、行政法规规定应当告知的其他事项。
  前款规定事项发生变更的，应当将变更部分告知个人。
  个人信息处理者通过制定个人信息处理规则的方式告知第一款规定事项的，处理规则应当公开，并且便于查阅和保存。
  第十八条　个人信息处理者处理个人信息，有法律、行政法规规定应当保密或者不需要告知的情形的，可以不向个人告知前条第一款规定的事项。
  紧急情况下为保护自然人的生命健康和财产安全无法及时向个人告知的，个人信息处理者应当在紧急情况消除后及时告知。
  第十九条　除法律、行政法规另有规定外，个人信息的保存期限应当为实现处理目的所必要的最短时间。
  第二十条　两个以上的个人信息处理者共同决定个人信息的处理目的和处理方式的，应当约定各自的权利和义务。但是，该约定不影响个人向其中任何一个个人信息处理者要求行使本法规定的权利。