个人信息保护法是什么
个人信息保护法 2021-08-20 通过、2021-11-01 施行，规范个人信息的处理活动：确立处理规则、赋予个人权利、规定处理者义务与法律责任。它的适用范围有明显扩张：不只看服务器在哪里，境外主体向境内自然人提供产品服务、或者分析评估境内自然人行为，同样可能适用。因个人或家庭事务处理个人信息不适用该法，这是最常被引用的例外。
基本信息
| 通过施行 | 2021-08-20 通过，2021-11-01 施行 |
|---|---|
| 适用范围 | 境内处理活动；境外处理境内自然人个人信息的三类情形 |
| 核心章节 | 总则 / 处理规则 / 跨境规则 / 个人权利 / 处理者义务 / 监管部门 / 法律责任 / 附则 |
| 例外 | 自然人因个人或家庭事务处理个人信息不适用 |
| 关键义务 | 告知、同意（含单独同意）、最小必要、影响评估、泄露通知、指定负责人 |
| 监管 | 网信部门统筹协调，有关部门在职责范围内负责 |
适用自测三问
适用自测三问
# 1 处理对象
是不是自然人个人信息？（匿名化数据不属个人信息，企业数据不属）
# 2 是否面向境内
是否向境内自然人提供产品或服务？
# 3 是否在境内评估
是否在分析、评估境内自然人的行为？
# 命中任一 → 适用个人信息保护法，继续判断处理规则与义务企业要建的六件事
- 字段清单与最小必要评估：每个个人字段都能说明对应功能与必要性
- 告知与同意机制：隐私政策、单独同意场景清单、同意记录与撤回入口
- 影响评估机制：敏感信息处理、对外提供、跨境等场景的事前评估
- 数据主体权利响应：查阅、复制、更正、删除、可携带与注销通道
- 安全保障措施：加密、去标识化、权限最小化、操作留痕与权限复核
- 组织与制度：个人信息保护负责人、制度文本、培训与供应商数据条款
高频提问对照
| 问题 | 结论 | 注意点 |
|---|---|---|
| 脱敏后还适用吗 | 去标识化数据仍可能属于个人信息 | 匿名化处理到不可复原才构成例外 |
| 境外公司要不要遵守 | 面向境内提供服务时可能适用 | 合规成本要提前评估 |
| 公司客户数据算不算 | 法人数据不属于个人信息 | 但法定代表人等关键自然人信息除外 |
| 内部员工数据要不要管 | 属于个人信息 | 招聘、考勤、监控等场景都要有依据 |
典型使用场景
- 隐私政策修订：按告知事项清单逐项核对，确保与实际处理活动一致
- 产品需求评审：新增字段与埋点前先过最小必要评估
- 供应商采购：在合同里约定委托处理的范围、安全措施与审计权
- 数据出境判断：先确认个人信息规模与敏感属性，再选择出境路径
判断一个人数据是否属于个人信息，看的是「是否可识别到特定自然人」：单独一个字段可能识别不出，但与其他数据结合能识别出来的，同样属于个人信息。
不得因个人不同意处理非必要信息而拒绝提供基本功能服务；捆绑同意、默认勾选、拒绝后就无法使用基础功能，都是执法中常见被认定的违规情形。