PIPL借鉴GDPR确立域外适用效力与知情同意等六大原则，要求企业针对敏感信息、自动化决策、跨境传输开展保护影响评估，处理超百万/千万人信息的企业须设负责人并定期合规审计。
关键日期
《中华人民共和国个人信息保护法》于2021年8月20日经第十三届全国人民代表大会常务委员会第三十次会议通过，2021年11月1日起正式施行。
该法共八章七十四条，是我国首部个人信息保护的专门性法律。它与《网络安全法》《数据安全法》共同构成了中国网络与数据安全领域的基础性法律框架。
| 时间节点 | 关键事项 |
|---|---|
| 2018年9月7日 | 《个人信息保护法》首次列入十三届全国人大常委会立法规划 |
| 2020年10月21日 | 《个人信息保护法（草案）》全文公布并第一次向社会征求意见 |
| 2021年4月29日 | 《个人信息保护法（草案二次审议稿）》公布并征求意见 |
| 2021年8月20日 | 全国人大常委会正式表决通过 |
| 2021年11月1日 | 正式施行 |
（一）境内适用
在中华人民共和国境内处理自然人个人信息的活动，适用本法。
（二）域外效力（长臂管辖）
《个人信息保护法》借鉴了欧盟GDPR的立法思路，首次赋予该法域外适用效力。根据第三条规定，在中华人民共和国境外处理境内自然人个人信息的活动，有下列情形之一的，也适用本法：
1. 以向境内自然人提供产品或者服务为目的；
2. 分析、评估境内自然人的行为；
3. 法律、行政法规规定的其他情形。
这意味着：任何境外企业，只要向中国境内自然人提供产品或服务，或分析、评估中国境内自然人的行为，即使在中国未设立任何实体，也可能需要遵守《个人信息保护法》。
（三）境外企业的额外义务
对于落入域外适用范围的境外个人信息处理者，第五十三条要求应当在中国境内设立专门机构或者指定代表，负责处理个人信息保护相关事务，并将有关信息报送履行个人信息保护职责的部门。
《个人信息保护法》确立了个人信息处理的六大基本原则：
| 原则 | 核心含义 |
|---|---|
| 合法、正当、必要、诚信 | 不得通过误导、欺诈、胁迫等方式处理个人信息 |
| 目的明确 | 处理个人信息应当具有明确、合理的目的 |
| 最小必要 | 收集个人信息应限于实现处理目的的最小范围，不得过度收集 |
| 公开透明 | 公开个人信息处理规则，明示处理目的、方式和范围 |
| 质量保证 | 保证个人信息的准确性、完整性 |
| 责任与安全 | 处理者应对处理活动负责，采取必要措施保障安全 |
（一）角色定义
“个人信息处理者”是指在个人信息处理活动中自主决定处理目的、处理方式的组织、个人。处理者承担主要合规义务。
（二）核心合规义务
1. 建立全流程个人信息保护制度
制定内部管理制度和操作规程
对个人信息实行分类管理
采取加密、去标识化等安全技术措施
合理确定个人信息处理的操作权限，并定期对从业人员进行安全教育和培训
2. 落实“知情同意”原则
收集个人信息前，以显著方式、清晰易懂的语言向个人告知相关事项
同意应在充分知情的前提下自愿、明确作出
不得以欺诈、诱骗、误导的方式收集个人信息
不得强迫或变相强迫同意（如拒绝提供非必要信息后影响服务使用）
提供便捷的撤回同意方式
3. 保障个人信息主体权利
个人享有知情权、决定权、拒绝权、查阅权、复制权、修改权、补充权、删除权等
企业应能灵活、准确地响应用户的查询、修改、删除、转移等需求
提供注销账号的功能
4. 敏感个人信息的特殊处理规则
敏感个人信息包括：生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等，以及不满十四周岁未成年人的个人信息
处理敏感个人信息需取得单独同意，并向个人告知处理敏感个人信息的必要性以及对个人权益的影响
处理不满十四周岁未成年人个人信息的，应取得其父母或其他监护人的同意
5. 个人信息保护影响评估（PIA）
有下列情形之一的，应事前进行个人信息保护影响评估，并对处理情况进行记录：
处理敏感个人信息
利用个人信息进行自动化决策
委托处理、向他人提供、公开个人信息
向境外提供个人信息
其他对个人权益有重大影响的处理活动
6. 合规审计义务
应定期对其处理个人信息遵守法律、行政法规的情况进行合规审计
处理超过1000万人个人信息的处理者，应当每两年至少开展一次自行定期审计
监管部门发现存在较大风险的，有权要求处理者委托专业机构进行专项审计
7. 个人信息保护负责人
处理100万人以上信息的企业须指定个人信息保护负责人
负责人应具有相关专业知识和工作经验
8. 个人信息跨境提供的规则
向境外提供个人信息前，应进行个人信息保护影响评估
应满足以下条件之一：通过国家网信部门组织的安全评估、经专业机构进行个人信息保护认证、按照国家网信部门制定的标准合同与境外接收方订立合同等
关键信息基础设施运营者和处理个人信息达到国家网信部门规定数量的处理者，应将在中国境内收集和产生的个人信息存储在境内
9. 自动化决策的合规要求
利用个人信息进行自动化决策，应保证决策的透明度和结果公平、公正
不得对个人在交易价格等交易条件上实行不合理的差别待遇（即禁止“大数据杀熟”）
通过自动化决策方式向个人进行信息推送、商业营销的，应同时提供不针对其个人特征的选项，或向个人提供便捷的拒绝方式
10. 大型互联网平台的特别义务（“守门人”义务）
成立主要由外部成员组成的独立机构对个人信息保护情况进行监督
遵循公开、公平、公正的原则，制定平台规则
对严重违法处理个人信息的平台内产品或者服务提供者，停止提供服务
定期发布个人信息保护社会责任报告
《个人信息保护法》确立了严厉的处罚机制，处罚金额取固定金额与上一年度营业额占比的较高值：
| 违规情节 | 处罚措施 |
|---|---|
| 一般违规 | 责令改正、给予警告、没收违法所得；对直接负责的主管人员和其他直接责任人员处以罚款 |
| 情节严重 | 责令改正、没收违法所得、处以罚款（最高5000万元或上一年度营业额5%）；责令暂停相关业务、停业整顿、吊销相关业务许可或营业执照 |
| 对直接责任人员 | 情节严重的，对直接负责的主管人员和其他直接责任人员处以10万元以上100万元以下罚款，并可禁止其在一定期限内担任相关企业的董事、监事、高级管理人员和个人信息保护负责人 |
执法案例（近期） ：
2025年：重庆某公司未按规定处理个人信息、未向用户提供注销账号功能，被网信部门依法行政处罚
2025年：法国某奢侈品牌在华子公司因未通过合规程序向境外总部传输用户个人信息、未取得“单独同意”、未采取加密等安全措施，被公安机关依法行政处罚
2025年：湖南某网络信息技术公司因未履行个人数据安全保护义务，被处以罚款，主管人员被罚款1万元
《个人信息保护合规审计管理办法》已于2025年5月1日正式施行，标志着合规审计从法律规则正式迈入系统性、可落地的制度实施新阶段
《小型个人信息处理者个人信息保护简化措施规定（征求意见稿）》于2026年4月发布，确立了“大者严、小者简、分类监管、宽严相济”的监管走向
2026年重点监管领域：国家网信办、工信部、公安部联合公告，明确将对App、SDK、互联网广告、教育、交通、卫生健康、金融等重点领域开展深度治理
合规审计机构：截至2026年3月，全国已有27家专业机构通过合规审计服务认证
1. 立即评估是否落入适用范围：审查是否在中国境内处理个人信息，或是否向中国境内自然人提供产品/服务、分析其行为
2. 开展个人信息映射（Data Mapping）：全面梳理收集、处理、存储、传输的个人信息类型、来源、流向和目的
3. 更新隐私政策与用户协议：确保以显著方式、清晰易懂的语言向用户充分告知，并取得有效的“知情同意”
4. 建立个人信息主体权利响应机制：确保能够及时响应个人的查阅、复制、删除、撤回同意等请求
5. 进行个人信息保护影响评估（PIA）：在处理敏感个人信息、自动化决策、跨境传输等高风险场景前完成评估
6. 评估是否需要任命个人信息保护负责人：处理100万人以上信息的企业须指定负责人
7. 建立数据泄露应急响应机制：制定安全事件应急预案，确保能够及时处置和报告
8. 审查跨境数据传输的合规性：梳理是否存在向境外传输个人信息的情形，确认是否已通过安全评估、认证或签订标准合同
9. 关注合规审计要求：处理超过1000万人个人信息的处理者，应每两年至少开展一次合规审计
10. 持续关注法规动态：密切关注《个人信息保护合规审计管理办法》实施细节、小型处理者简化措施等配套规定