中华人民共和国个人信息保护法

PIPL一般涵盖所有在中国经营的处理个人信息的组织机构。

个人隐私、控制和同意是贯穿整个法律的一致主题，其中规定了关键原则，包括:

• 个人信息：定义了包括个人信息在内的敏感信息。
• 法律依据：所有数据收集必须有法律依据。
• 同意：与GDPR不同的是，每一种类型的数据处理活动都必须获得同意，特别是在将个人数据转移到海外时。
• 敏感数据：个人信息保护法规定某些类型的个人信息是敏感的，并提供了一个开放式的事例列表，其中包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。
• 儿童保护：14 岁以下未成年人的所有个人信息均被定义为敏感信息，规定个人信息处理者处理这些信息应当取得未成年人的父母或者其他监护人的同意并制定专门的个人信息处理规则。
• 个人权利：个人信息保护法赋予个人对其信息的几项关键权利。
• 个人信息处理者的义务：个人信息保护法规定了各方收集、转移和处理个人信息的各种义务。
• 政府对个人信息的使用：个人信息保护法规定了政府机构何时以及如何收集和处理个人数据。
• 传输至境外：规定了对将个人数据传输到中国境外的具体限制。
• 法律责任：规定了违反个人信息保护法行为的处罚。

个人信息保护法定义了一些名词的具体概念，参见如下：

• 个人信息：个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，但不包括匿名化处理后的信息
• 敏感个人信息：敏感个人信息是一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。
• 个人：其个人数据被收集处理的人
• 个人信息处理者：是指在个人信息处理活动中自主决定处理目的、处理方式的组织、个人。
• 受托人：个人信息处理者委托处理个人信息的外部实体，本质上是第三方。
• 个人信息处理:个人信息处理包括个人信息的收集、存储、使用、处理、传输、提供、披露、删除等。
• 自动化决策：是指通过计算机程序自动分析、评估个人的行为习惯、兴趣爱好或者经济、健康、信用状况等，并进行决策的活动。
• 去标识化：是指个人信息经过处理，使其在不借助额外信息的情况下无法识别特定自然人的过程。
• 匿名化：是指个人信息经过处理无法识别特定自然人且不能复原的过程。

个人根据个人信息保护法有多项特定权利，他们可以[4]：

• 了解并决定：个人可以拒绝并限制其数据的处理方式。
• 访问和复制：个人有权向个人信息处理者查阅、复制其个人信息。
• 更正或补充：个人发现其个人信息不准确或者不完整的，有权请求个人信息处理者更正、补充。
• 被遗忘权：个人有权请求个人信息处理者删除个人信息。并有权撤回对隐私政策的同意。
• 知情權：个人有权要求个人信息处理者对其个人信息处理规则进行解释说明。
• 信息转移：个人有权请求将个人信息转移至其指定的个人信息处理者。