《个人信息保护法》与数据合规规则体系的形成

一、三法并立的框架：各自管什么

• 《网络安全法》：以网络运行安全与网络信息安全为主线，规定网络运营者的安全保护义务、网络实名制、关键信息基础设施保护等。2025 年修改前，它是数据与网络领域最早的基础性法律，也是后续立法的重要上位依据。
• 《数据安全法》：以数据安全为核心，建立数据分类分级保护制度，区分国家核心数据、重要数据与一般数据，规定重要数据处理者的义务与数据出境安全管理。
• 《个人信息保护法》：以个人信息权益为核心，规定处理规则、个人权利、处理者义务与法律责任，并单独设立跨境提供规则一章。

三部法之间的关系不是替代，而是分工：网络安全法解决「网络和系统是否安全」，数据安全法解决「数据本身是否被分类分级保护」，个人信息保护法解决「处理自然人的信息需要什么依据与程序」。一件具体的业务动作，往往同时触发多部法下的义务。

二、《个人信息保护法》的四组核心制度

可以按「能不能处理、要告知什么、什么要更严、出事怎么办」四组来理解。

1. 处理的合法性基础：第十三条列举七种情形，取得个人同意只是其中之一；为订立、履行合同所必需，为履行法定职责或者法定义务所必需，为应对突发公共卫生事件或者紧急情况下保护自然人生命健康和财产安全所必需，为公共利益实施新闻报道、舆论监督等在合理范围内处理，以及在合理范围内处理个人自行公开或者其他已经合法公开的个人信息等，都属于可以不经同意的情形。除第一项外的情形不需另行取得同意。
2. 告知义务：第十七条要求在处理前以显著方式、清晰易懂的语言真实、准确、完整地告知处理者名称或姓名和联系方式、处理目的与方式、处理的个人信息种类与保存期限、个人行使权利的方式和程序等事项；事项变更的应当就变更部分告知。
3. 敏感个人信息：第二十八条界定为一旦泄露或者非法使用，容易导致自然人人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息；只有在具有特定目的和充分必要性、并采取严格保护措施的情形下才可以处理。
4. 合规工具与责任：第五十五条列举应当事前进行个人信息保护影响评估的五种情形（处理敏感个人信息、利用个人信息进行自动化决策、委托处理或向其他处理者提供或公开个人信息、向境外提供个人信息、其他对个人权益有重大影响的活动）；第五十四条规定定期合规审计；第六十六条设定罚款等行政责任，情节严重的标准明显提高。第六十九条还对侵害个人信息权益的损害赔偿采用过错推定：处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任。

三、跨境提供：从单一路径到多层安排

《个人信息保护法》第三十八条给出的是一组可选项：因业务等需要确需向境外提供个人信息的，应当具备下列条件之一——依照第四十条的规定通过国家网信部门组织的安全评估；按照国家网信部门的规定经专业机构进行个人信息保护认证；按照国家网信部门制定的标准合同与境外接收方订立合同；法律、行政法规或者国家网信部门规定的其他条件。第四十条同时规定，关键信息基础设施运营者和处理个人信息达到国家网信部门规定数量的处理者，应当将在境内收集和产生的个人信息存储在境内，确需向境外提供的应当通过安全评估。

针对实践中「什么时候必须申报、什么时候可以不报」的疑问，2024 年 3 月 22 日公布的《促进和规范数据跨境流动规定》作出优化：明确未被相关部门、地区告知或者公开发布为重要数据的，不需要作为重要数据申报数据出境安全评估；并列出了若干免予申报安全评估、订立标准合同、通过认证的情形，例如国际贸易、跨境运输、学术合作、跨国生产制造和市场营销等活动中向境外提供不包含个人信息或重要数据的数据，为订立、履行个人作为一方当事人的合同所必需，按照依法制定的劳动规章制度和依法签订的集体合同实施跨境人力资源管理所必需，紧急情况下为保护自然人生命健康和财产安全所必需，以及关键信息基础设施运营者以外的处理者自当年 1 月 1 日起累计向境外提供不满 10 万人个人信息（不含敏感个人信息）等。该规定还设立了自由贸易试验区负面清单制度。

需要注意的是，该规定第十三条明确：此前公布的《数据出境安全评估办法》（令第 11 号）、《个人信息出境标准合同办法》（令第 13 号）等相关规定与本规定不一致的，适用本规定。

四、行政法规与合规机制：条例、审计、报告

• 《网络数据安全管理条例》：2024 年 9 月 24 日公布，2025 年 1 月 1 日施行。它以三部法律为上位依据，提出网络数据分类分级保护、安全风险报告与安全事件处置等一般要求，细化个人信息保护规则，完善重要数据安全制度与跨境安全管理规定，并明确网络数据处理者可以向境外提供个人信息的条件。
• 《个人信息保护合规审计管理办法》：2025 年 5 月 1 日施行。它把《个人信息保护法》第五十四条的「定期合规审计」落成可操作的制度，区分处理者自行开展的审计与保护部门依职权要求的审计，并对数量的门槛作出规定。
• 仍需注意的衔接：行政法规与规章不能突破上位法，遇到表述差异时应当回到法律条文确认义务边界；同时，合规审计、影响评估、出境申报这些动作各自有独立的时间点与留痕要求，不能相互替代。

五、2025 年的一次基础性修改：网络安全法

2025 年 10 月 28 日，十四届全国人大常委会第十八次会议表决通过关于修改《中华人民共和国网络安全法》的决定，修改后的法律自 2026 年 1 月 1 日起施行。这是该法 2017 年施行以来的首次修改。

从公开的立法说明与报道看，此次修改的重点在三个方向：强化法律责任，提高网络运营者未履行安全保护义务等情形的处罚幅度；加强与其他法律的衔接，在个人信息保护方面做好与《民法典》《个人信息保护法》等法律的衔接；回应人工智能治理，明确国家支持人工智能基础理论研究和算法等关键技术研发，完善人工智能伦理规范，加强风险监测评估和安全监管，同时支持运用人工智能提升网络安全保护水平。

对企业的直接含义是：数据合规的检查清单需要按新法版本更新，尤其是安全事件应急预案、事件报告与法律责任部分，不宜继续沿用 2017 年版的表述。

六、可以按什么顺序搭建合规动作

1. 画数据地图：梳理业务中处理的个人信息与数据类别，先标出是否涉及敏感个人信息、重要数据；
2. 定合法性基础：对每一类处理活动，明确落入《个人信息保护法》第十三条的哪一项，需要同意的取得同意；
3. 补告知与规则：按第十七条完善隐私政策与告知内容，事项变更时同步更新；
4. 做影响评估：对照第五十五条的五种情形，事前开展评估并留存报告，评估报告与处理情况记录按规定至少保存三年；
5. 落审计机制：对照《个人信息保护合规审计管理办法》确认自身是否需要定期自行审计，以及被要求审计时的应对流程；
6. 单独处理跨境场景：先确认是否触发第四十条的境内存储与安全评估要求，再对照《促进和规范数据跨境流动规定》判断是否属于免予申报的情形，并在需要时选择安全评估、认证或者标准合同路径；
7. 建事件响应：明确泄露、篡改、丢失等情形的补救、通知与报告流程，并按 2025 年修改后的《网络安全法》更新预案与报告口径。

七、常见误区

• 「只要取得同意，就什么都能做。」——同意只是第十三条七项合法性基础之一，仍受目的明确、合理、最小必要等原则限制。
• 「数据出境一律要申报安全评估。」——《促进和规范数据跨境流动规定》列出了若干免予申报的情形，并设有自贸试验区负面清单制度，需要先判断是否落入其中。
• 「做了影响评估，就不用做合规审计。」——两者是不同的制度工具，触发条件与留痕要求不同，不能相互替代。
• 「《网络安全法》还是 2017 年那版。」——该法已于 2025 年 10 月 28 日完成修改，修改后的文本自 2026 年 1 月 1 日起施行。
• 「规范之间冲突时看最新的那份就行。」——需先回到上位法确认义务边界；规章之间的不一致，另有明确的适用规则。