中华人民共和国个人信息保护法
全国人民代表大会常务委员会 · 2021年8月20日第十三届全国人民代表大会常务委员会第三十次会议通过
中国个人信息保护的基础法律。确立处理个人信息的合法性基础（第十三条）、告知义务（第十七条）、敏感个人信息的单独同意与必要性要求（第二十八条至第三十条）、自动化决策的透明度与拒绝权（第二十四条）、个人信息保护影响评估（第五十五条、第五十六条）、出境三条路径（第三十八条）以及最高「五千万元以下或者上一年度营业额百分之五以下」的罚则（第六十六条）。
三种业务动作会把一家中国 AI 企业拉进适用范围：（1）在境内处理任何自然人的个人信息（第三条第一款），包括用用户对话、人脸、语音、行车数据训练模型；（2）虽在境外处理，但目的是向境内自然人提供产品或服务、或分析评估境内自然人行为（第三条第二款）——例如把中国用户的 App 数据放在新加坡节点处理；（3）把境内收集的个人信息传到境外关联公司、云厂商或客户（第三十八条），这是出海企业最常见的触发点。第五十三条还要求纯境外的处理者在中国境内设立专门机构或指定代表。
重点行业：通用、大模型 / 生成式 AI、企业软件 SaaS、AI 智能体、计算机视觉
2021-11-01
全法施行
告知同意、敏感个人信息单独同意、个人信息保护影响评估、出境三条路径、个人权利响应等全部义务同日生效。
2025-01-01
《网络数据安全管理条例》为本法提供行政法规层面的执行细则
境外处理者在境内机构/代表须向设区的市级网信部门报送信息；1000 万人以上个人信息处理者适用重要数据处理者的部分义务。
2025-05-01
《个人信息保护合规审计管理办法》施行
第五十四条的「定期合规审计」被量化：处理超过 1000 万人个人信息的，每两年至少一次。
每条都写明触发条件、需要留存的证据与条款出处
为每一类处理活动锁定第十三条中的一项合法性基础（同意、订立履行合同所必需、法定义务、突发公共卫生事件、公共利益新闻报道、已合法公开信息的合理处理等），并在处理前以显著方式、清晰易懂的语言告知处理者名称与联系方式、处理目的与方式、个人信息种类与保存期限、行使权利的方式和程序；事项变更的要再次告知。用处理规则（隐私政策）方式告知的，规则须公开且便于查阅保存。
首次达标投入估算：10–25 人日（估算，非承诺）
对人脸、声纹、指纹等生物识别信息，医疗健康、金融账户、行踪轨迹以及不满十四周岁未成年人的个人信息，先做「特定目的 + 充分必要性 + 严格保护措施」的书面论证，再取得单独同意（不得与一揽子同意合并），并额外告知处理敏感个人信息的必要性及对个人权益的影响。法律、行政法规要求书面同意的从其规定。
首次达标投入估算：8–20 人日（估算，非承诺）
利用个人信息进行自动化决策的，应保证决策透明度与结果公平公正，不得在交易价格等交易条件上实行不合理差别待遇。通过自动化决策向个人推送信息或商业营销的，必须同时提供不针对个人特征的选项或便捷的拒绝方式。通过自动化决策作出对个人权益有重大影响的决定的，个人有权要求说明并有权拒绝仅由自动化决策作出。
首次达标投入估算：10–25 人日（估算，非承诺）
在五种情形下事前开展影响评估并记录处理情况：处理敏感个人信息、利用个人信息进行自动化决策、委托处理或向其他处理者提供或公开个人信息、向境外提供个人信息、其他对个人权益有重大影响的处理活动。评估内容至少覆盖目的与方式的合法正当必要性、对个人权益的影响与安全风险、保护措施是否合法有效并与风险程度相适应。评估报告与处理情况记录至少保存三年。
首次达标投入估算：8–20 人日（估算，非承诺）
处理个人信息达到国家网信部门规定数量的，应指定个人信息保护负责人，公开其联系方式并将姓名与联系方式报送履行个人信息保护职责的部门。《个人信息保护合规审计管理办法》把数量口径落地：处理 100 万人以上个人信息的应当指定个人信息保护负责人，并由其负责合规审计工作；处理超过 1000 万人个人信息的，应当每两年至少开展一次个人信息保护合规审计。保护部门也可要求委托专业机构审计，审计后需报送报告并在整改完成后 15 个工作日内报送整改情况报告。
首次达标投入估算：15–40 人日（估算，非承诺）
建立受理与响应机制，支持查阅、复制、更正、补充、删除、限制或拒绝处理、撤回同意、注销账号等请求，并及时提供。符合国家网信部门规定条件的转移请求，应当提供将个人信息转移至个人指定处理者的途径。出现处理目的已实现、停止提供产品服务、保存期限届满、个人撤回同意、违法违约处理等情形的，应当主动删除；删除在技术上难以实现的，应停止除存储与必要安全保护之外的处理。
首次达标投入估算：10–25 人日（估算，非承诺）
发生或者可能发生个人信息泄露、篡改、丢失的，立即采取补救措施，并通知履行个人信息保护职责的部门和个人。通知内容须包含信息种类、原因和可能造成的危害，已采取的补救措施与个人可采取的减轻危害措施，以及处理者的联系方式。若已采取的措施能够有效避免危害，可以不通知个人，但主管部门认为可能造成危害的有权要求通知。
首次达标投入估算：5–15 人日（估算，非承诺）
第六十六条：一般情形责令改正、警告、没收违法所得，对违法应用责令暂停或终止服务；拒不改正的并处一百万元以下罚款，对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款。情节严重的，由省级以上部门并处五千万元以下或者上一年度营业额百分之五以下罚款，可责令暂停业务、停业整顿、吊销许可或营业执照；对责任人处十万元以上一百万元以下罚款，并可禁止其在一定期限内担任董事、监事、高级管理人员和个人信息保护负责人。
内容截至 2026-09-12 · 语料版本 2026.09|本内容基于公开官方来源整理，标注了来源链接与复核日期，供合规决策参考；监管要求可能变化，正式对外披露、监管申报或合同承诺前请由持证专业人士复核。