第十三届全国人大常委会第二十八次会议对《中华人民共和国个人信息保护法（草案二次审议稿）》进行了审议。现将《中华人民共和国个人信息保护法（草案二次审议稿）》在中国人大网公布，社会公众可以直接登录中国人大网（www.npc.gov.cn）提出意见，也可以将意见寄送全国人大常委会法制工作委员会（北京市西城区前门西大街1号，邮编：100805。信封上请注明个人信息保护法草案二次审议稿征求意见）。征求意见截止日期：2021年5月28日。

　　第一章　总　　则

　　第二章　个人信息处理规则

　　第一节　一般规定

　　第二节　敏感个人信息的处理规则

　　第三节　国家机关处理个人信息的特别规定

　　第三章　个人信息跨境提供的规则

　　第四章　个人在个人信息处理活动中的权利

　　第五章　个人信息处理者的义务

　　第六章　履行个人信息保护职责的部门

　　第七章　法律责任

　　第八章　附　　则

　　第一条　为了保护个人信息权益,规范个人信息处理活动,促进个人信息合理利用,制定本法。

　　第二条　自然人的个人信息受法律保护,任何组织、个人不得侵害自然人的个人信息权益。

　　第三条　组织、个人在中华人民共和国境内处理自然人个人信息的活动,适用本法。

　　在中华人民共和国境外处理中华人民共和国境内自然人个人信息的活动,有下列情形之一的,也适用本法:

　　(一)以向境内自然人提供产品或者服务为目的;

　　(二)分析、评估境内自然人的行为;

　　(三)法律、行政法规规定的其他情形。

　　第四条　个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息,不包括匿名化处理后的信息。

　　个人信息的处理包括个人信息的收集、存储、使用、加工、传输、提供、公开等。

　　第五条　处理个人信息应当采用合法、正当的方式,遵循诚信原则,不得通过误导、欺诈、胁迫等方式处理个人信息。

　　第六条　处理个人信息应当具有明确、合理的目的,并应当限于实现处理目的所必要的最小范围、采取对个人权益影响最小的方式,不得进行与处理目的无关的个人信息处理。

　　第七条　处理个人信息应当遵循公开、透明的原则,公开个人信息处理规则,明示处理的目的、方式和范围。

　　第八条　处理个人信息应当保证个人信息的质量,避免因个人信息不准确、不完整对个人权益造成不利影响。

　　第九条　个人信息处理者应当对其个人信息处理活动负责,并采取必要措施保障所处理的个人信息的安全。

　　第十条　任何组织、个人不得违反法律、行政法规的规定处理个人信息,不得从事危害国家安全、公共利益的个人信息处理活动。

　　第十一条　国家建立健全个人信息保护制度,预防和惩治侵害个人信息权益的行为,加强个人信息保护宣传教育,推动形成政府、企业、相关行业组织、社会公众共同参与个人信息保护的良好环境。

　　第十二条　国家积极参与个人信息保护国际规则的制定,促进个人信息保护方面的国际交流与合作,推动与其他国家、地区、国际组织之间的个人信息保护规则、标准等的互认。

　　第十三条　符合下列情形之一的,个人信息处理者方可处理个人信息:

　　(一)取得个人的同意;

　　(二)为订立或者履行个人作为一方当事人的合同所必需;

　　(三)为履行法定职责或者法定义务所必需;

　　(四)为应对突发公共卫生事件,或者紧急情况下为保护自然人的生命健康和财产安全所必需;

　　(五)依照本法规定在合理的范围内处理已公开的个人信息;

　　(六)为公共利益实施新闻报道、舆论监督等行为,在合理的范围内处理个人信息;

　　(七)法律、行政法规规定的其他情形。

　　依照本法其他有关规定,处理个人信息应当取得个人同意,但有前款第二项至第七项规定情形的,不需取得个人同意。

　　第十四条　处理个人信息的同意,应当由个人在充分知情的前提下自愿、明确作出。法律、行政法规规定处理个人信息应当取得个人单独同意或者书面同意的,从其规定。

　　个人信息的处理目的、处理方式和处理的个人信息种类发生变更的,应当重新取得个人同意。

　　第十五条　个人信息处理者处理不满十四周岁未成年人个人信息的,应当取得未成年人的父母或者其他监护人的同意。

　　第十六条　基于个人同意而进行的个人信息处理活动,个人有权撤回其同意。个人信息处理者应当提供便捷的撤回同意的方式。

　　个人撤回同意,不影响撤回前基于个人同意已进行的个人信息处理活动的效力。

　　第十七条　个人信息处理者不得以个人不同意处理其个人信息或者撤回其对个人信息处理的同意为由,拒绝提供产品或者服务;处理个人信息属于提供产品或者服务所必需的除外。

　　第十八条　个人信息处理者在处理个人信息前,应当以显著方式、清晰易懂的语言向个人告知下列事项:

　　(一)个人信息处理者的身份和联系方式;

　　(二)个人信息的处理目的、处理方式,处理的个人信息种类、保存期限;

　　(三)个人行使本法规定权利的方式和程序;

　　(四)法律、行政法规规定应当告知的其他事项。

　　前款规定事项发生变更的,应当将变更部分告知个人。

　　个人信息处理者通过制定个人信息处理规则的方式告知第一款规定事项的,处理规则应当公开,并且便于查阅和保存。

　　第十九条　个人信息处理者处理个人信息,有法律、行政法规规定应当保密或者不需要告知的情形的,可以不向个人告知前条规定的事项。

　　紧急情况下为保护自然人的生命健康和财产安全无法及时向个人告知的,个人信息处理者应当在紧急情况消除后及时告知。

　　第二十条　个人信息的保存期限应当为实现处理目的所必要的最短时间。法律、行政法规对个人信息的保存期限另有规定的,从其规定。

　　第二十一条　两个以上的个人信息处理者共同决定个人信息的处理目的和处理方式的,应当约定各自的权利和义务。但是,该约定不影响个人向其中任何一个个人信息处理者要求行使本法规定的权利。

　　个人信息处理者共同处理个人信息,侵害个人信息权益的,应当承担连带责任。

　　第二十二条　个人信息处理者委托处理个人信息的,应当与受托方约定委托处理的目的、期限、处理方式、个人信息的种类、保护措施以及双方的权利和义务等,并对受托方的个人信息处理活动进行监督。

　　受托方应当按照约定处理个人信息,不得超出约定的处理目的、处理方式等处理个人信息;委托合同不生效、无效、被撤销或者终止的,受托方应当将个人信息返还个人信息处理者或者予以删除,不得保留。

　　未经个人信息处理者同意,受托方不得转委托他人处理个人信息。

　　第二十三条　个人信息处理者因合并、分立等原因需要转移个人信息的,应当向个人告知接收方的身份、联系方式。接收方应当继续履行个人信息处理者的义务。接收方变更原先的处理目的、处理方式,应当依照本法规定重新取得个人同意。