2021年11月1日《团体信息掩护法》正式实行
2021-10-29
（2021年8月20日第十三届天下人民代表大会常务委员会第三十次集会经过）
第一章 总 则
第一条 为了掩护团体信息权柄，标准团体信息处置运动，促进团体信息公道使用，依据宪法，订定本法。 第二条 天然人的团体信息受执法掩护，任何构造、团体不得损害天然人的团体信息权柄。 第三条 在中华人民共和国境内处置天然人团体信息的运动，实用本法。 在中华人民共和国境外处置中华人民共和国境内天然人团体信息的运动，有下列情况之一的，也实用本法： 第四条 团体信息因此电子大概其他方法记载的与已辨认大概可辨认的天然人有关的种种信息，不包罗匿名化处置后的信息。 团体信息的处置包罗团体信息的搜集、存储、利用、加工、传输、提供、公然、删除等。 第五条 处置团体信息该当遵照正当、合法、须要和诚信准绳，不得经过误导、敲诈、胁迫等方法处置团体信息。 第六条 处置团体信息该当具有明白、公道的目标，并该当与处置目标间接相干，接纳对团体权柄影响最小的方法。 搜集团体信息，该当限于完成处置目标的最小范畴，不得过分搜集团体信息。 第七条 处置团体信息该当遵照公然、通明准绳，公然团体信息处置规矩，昭示处置的目标、方法和范畴。 第八条 处置团体信息该当包管团体信息的质量，制止因团体信息禁绝确、不完备对团体权柄形成倒霉影响。 第九条 团体信息处置者该当对其团体信息处置运动卖力，并接纳须要步伐保证所处置的团体信息的宁静。 第十条 任何构造、团体不得合法搜集、利用、加工、传输别人团体信息，不得合法交易、提供大概公然别人团体信息；不得从事危害国度宁静、大众长处的团体信息处置运动。 第十一条 国度创建健全团体信息掩护制度，防备和惩治损害团体信息权柄的举动，增强团体信息掩护宣布道育，推进构成当局、企业、相干社会构造、大众配合到场团体信息掩护的精良情况。 第十二条 国度正到场团体信息掩护国际规矩的订定，促进团体信息掩护方面的国际交换与互助，推进与其他国度、地域、国际构造之间的团体信息掩护规矩、尺度等互认。
第二章 团体信息处置规矩
第十三条 切合下列情况之一的，团体信息处置者方可处置团体信息： （二）为订立、实行团体作为一方当事人的条约所必须，大概依照依法订定的休息规章制度和依法签署的个人条约实行人力资源办理所必须； （四）为应对突发大众卫惹事件，大概告急状况下为掩护天然人的生命安康和产业宁静所必须； （五）为大众长处实行新闻报道、言论监视等举动，在公道的范畴内处置团体信息； （六）按照本法例定在公道的范畴内处置团体自行公然大概其他曾经正当公然的团体信息； 按照本法其他有关划定，处置团体信息该当获得团体赞同，但有前款第二项至第七项划定情况的，不需获得团体赞同。 第十四条 基于团体赞同处置团体信息的，该赞同该当由团体在充实知情的条件下志愿、明白作出。执法、行政法例划定处置团体信息该当获得团体独自赞同大概书面赞同的，从其划定。 团体信息的处置目标、处置方法和处置的团体信息品种产生变动的，该当重新获得团体赞同。 第十五条 基于团体赞同处置团体信息的，团体有权撤回其赞同。团体信息处置者该当提供便捷的撤回赞同的方法。 团体撤回赞同，不影响撤回前基于团体赞同已举行的团体信息处置运动的效能。 第十六条 团体信息处置者不得以团体差别意处置其团体信息大概撤回赞同为由，回绝提供产品大概办事；处置团体信息属于提供产品大概办事所必须的除外。 第十七条 团体信息处置者在处置团体信息前，该当以明显方法、明晰易懂的言语真实、正确、完备地向团体见告下列事变： （二）团体信息的处置目标、处置方法，处置的团体信息品种、保管限期； 团体信息处置者经过订定团体信息处置规矩的方法见告第一款划定事变的，处置规矩该当公然，而且便于查阅和保管。 第十八条 团体信息处置者处置团体信息，有执法、行政法例划定该当失密大概不必要见告的情况的，可以不向团体见告前条第一款划定的事变。 告急状况下为掩护天然人的生命安康和产业宁静无法实时向团体见告的，团体信息处置者该当在告急状况消弭后实时见告。 第十九条 除执法、行政法例尚有划定外，团体信息的保管限期该当为完成处置目标所须要的最短工夫。 第二十条 两个以上的团体信息处置者配合决议团体信息的处置目标和处置方法的，该当商定各自的权益和任务。但，该商定不影响团体向此中任何一个团体信息处置者要求利用本法例定的权益。 团体信息处置者配合处置团体信息，损害团体信息权柄形成侵害的，该当依法承当连带责任。 第二十一条 团体信息处置者委托处置团体信息的，该当与受托人商定委托处置的目标、限期、处置方法、团体信息的品种、掩护步伐以及两边的权益和任务等，并对受托人的团体信息处置运动举行监视。 受托人该当依照商定处置团体信息，不得凌驾商定的处置目标、处置方法等处置团体信息；委托条约不失效、有效、被打消大概停止的，受托人该当将团体信息返还团体信息处置者大概予以删除，不得保存。 未经团体信息处置者赞同，受托人不得转委托别人处置团体信息。 第二十二条 团体信息处置者因兼并、分立、遣散、被宣告停业等缘故原由必要转移团体信息的，该当向团体见告吸收方的称号大概姓名和联系方法。吸收方该当持续实行团体信息处置者的任务。吸收方变动原先的处置目标、处置方法的，该当按照本法例定重新获得团体赞同。 第二十三条 团体信息处置者向其他团体信息处置者提供其处置的团体信息的，该当向团体见告吸收方的称号大概姓名、联系方法、处置目标、处置方法和团体信息的品种，并获得团体的独自赞同。吸收方该当在上述处置目标、处置方法和团体信息的品种等范畴内处置团体信息。吸收方变动原先的处置目标、处置方法的，该当按照本法例定重新获得团体赞同。 第二十四条 团体信息处置者使用团体信息举行主动化决议计划，该当包管决议计划的通明度和后果公正、公平，不得对团体在买卖代价等买卖条件上实验分歧理的差异报酬。 经过主动化决议计划方法向团体举行信息推送、贸易营销，该当同时提供不针对其团体特性的选项，大概向团体提供便捷的回绝方法。 经过主动化决议计划方法作出对团体权柄有严重影响的决议，团体有官僚求团体信息处置者予以阐明，并有权回绝团体信息处置者仅经过主动化决议计划的方法作出决议。 第二十五条 团体信息处置者不得公然其处置的团体信息，获得团体独自赞同的除外。 第二十六条 在公开场合[gōng kāi chǎng hé]安置图像收罗、团体身份辨认设置装备摆设，该当为维护大众宁静所必须，恪守国度有关划定，并设置明显的提醒标识。所搜集的团体图像、身份辨认信息只能用于维护大众宁静的目标，不得用于其他目标；获得团体独自赞同的除外。 第二十七条 团体信息处置者可以在公道的范畴内处置团体自行公然大概其他曾经正当公然的团体信息；团体明白回绝的除外。团体信息处置者处置已公然的团体信息，对团体权柄有严重影响的，该当按照本法例定获得团体赞同。 第二十八条 敏感团体信息是一旦泄漏大概合法利用，容易招致天然人的品德尊严遭到损害大概人身、产业宁静遭到危害的团体信息，包罗生物辨认、宗教信奉、特定身份、医疗安康、金融账户、行迹轨迹等信息，以及不满十周围岁未成年人的团体信息。 只要在具有特定的目标和充实的须要性，并接纳严厉掩护步伐的情况下，团体信息处置者方可处置敏感团体信息。 第二十九条 处置敏感团体信息该当获得团体的独自赞同；执法、行政法例划定处置敏感团体信息该当获得书面赞同的，从其划定。 第三十条 团体信息处置者处置敏感团体信息的，除本法第十七条第一款划定的事变外，还该当向团体见告处置敏感团体信息的须要性以及对团体权柄的影响；按照本法例定可以不向团体见告的除外。 第三十一条 团体信息处置者处置不满十周围岁未成年人团体信息的，该当获得未成年人的怙恃大概其他监护人的赞同。 团体信息处置者处置不满十周围岁未成年人团体信息的，该当订定专门的团体信息处置规矩。 第三十二条 执法、行政法例对处置敏感团体信息划定该当获得相干行政允许大概作出其他限定的，从其划定。 第三十三条 国度构造处置团体信息的运动，实用本法；本节有分外划定的，实用本节划定。 第三十四条 国度构造为实行法定职责处置团体信息，该当按照执法、行政法例划定的权限、步伐举行，不得凌驾实行法定职责所必须的范畴和限制。 第三十五条 国度构造为实行法定职责处置团体信息，该当按照本法例定实行见告任务；有本法第十八条第一款划定的情况，大概见告将阻碍国度构造实行法定职责的除外。 第三十六条 国度构造处置的团体信息该当在中华人民共和国境内存储；确需向境外提供的，该当举行宁静评价。宁静评价可以要求有关部分提供支持与帮忙。 第三十七条 执法、法例受权的具有办理大众事件职能的构造为实行法定职责处置团体信息，实用本法关于国度构造处置团体信息的划定。
第三章 团体信息跨境提供的规矩
第三十八条 团体信息处置者因商业等必要，确需向中华人民共和国境外提供团体信息的，该当具有下列条件之一： （一）按照本法第四十条的划定经过国度网信部分构造的宁静评价； （二）依照国度网信部分的划定经专业机构举行团体信息掩护认证； （三）依照国度网信部分订定的尺度条约与境外吸收方订立条约，商定两边的权益和任务； （四）执法、行政法例大概国度网信部分划定的其他条件。 中华人民共和国缔结大概到场的国际条约、协议对向中华人民共和国境外提供团体信息的条件等有划定的，可以依照其划定实行。 团体信息处置者该当接纳须要步伐，保证境外吸收方处置团体信息的运动到达本法例定的团体信息掩护尺度。 第三十九条 团体信息处置者向中华人民共和国境外提供团体信息的，该当向团体见告境外吸收方的称号大概姓名、联系方法、处置目标、处置方法、团体信息的品种以及团体向境外吸收方利用本法例定权益的方法和步伐等事变，并获得团体的独自赞同。 第四十条 要害信息底子办法运营者和处置团体信息到达国度网信部分划定数目的团体信息处置者，该当将在中华人民共和国境内搜集和发生的团体信息存储在境内。确需向境外提供的，该当经过国度网信部分构造的宁静评价；执法、行政法例和国度网信部分划定可以不举行宁静评价的，从其划定。 第四十一条 中华人民共和国主管构造依据有关执法和中华人民共和国缔结大概到场的国际条约、协议，大概依照同等互惠准绳，处置本国法律大概执法机构关于提供存储于境内团体信息的哀求。非经中华人民共和国主管构造同意，团体信息处置者不得向本国法律大概执法机构提供存储于中华人民共和国境内的团体信息。 第四十二条 境外的构造、团体从事损害中华人民共和国百姓的团体信息权柄，大概危害中华人民共和国国度宁静、大众长处的团体信息处置运动的，国度网信部分可以将其参加限定大概克制团体信息提供清单，予以通告，并接纳限定大概克制向其提供团体信息等步伐。 第四十三条 任何国度大概地域在团体信息掩护方面临中华人民共和国接纳鄙视性的克制、限定大概其他相似步伐的，中华人民共和国可以依据实践状况对该国度大概地域对等接纳步伐。
第四章 团体在团体信息处置运动中的权益
第四十四条 团体对其团体信息的处置享有知情权、决议权，有权限定大概回绝别人对其团体信息举行处置；执法、行政法例尚有划定的除外。 第四十五条 团体有权向团体信息处置者查阅、复制其团体信息；有本法第十八条第一款、第三十五条划定情况的除外。 团体哀求查阅、复制其团体信息的，团体信息处置者该当实时提供。 团体哀求将团体信息转移至其指定的团体信息处置者，切合国度网信部分划定条件的，团体信息处置者该当提供转移的途径。 第四十六条 团体发明其团体信息禁绝确大概不完备的，有权哀求团体信息处置者改正、增补。 团体哀求改正、增补其团体信息的，团体信息处置者该当对其团体信息予以核实，并实时改正、增补。 第四十七条 有下列情况之一的，团体信息处置者该当自动删除团体信息；团体信息处置者未删除的，团体有权哀求删除： （一）处置目标已完成、无法完成大概为完成处置目标不再须要； （二）团体信息处置者中止提供产品大概办事，大概保管限期已届满； （四）团体信息处置者违背执法、行政法例大概违背商定处置团体信息； 执法、行政法例划定的保管限期未届满，大概删除团体信息从技能上难以完成的，团体信息处置者该当中止除存储和接纳须要的宁静掩护步伐之外的处置。 第四十八条 团体有官僚求团体信息处置者对其团体信息处置规矩举行表明阐明。 第四十九条 天然人殒命的，其嫡亲属为了本身的正当、合法长处，可以对去世者的相干团体信息利用本章划定的查阅、复制、改正、删除等权益；去世者生前尚有布置的除外。 第五十条 团体信息处置者该当创建便捷的团体利用权益的请求受理和处置机制。回绝团体利用权益的哀求的，该当阐明来由。 团体信息处置者回绝团体利用权益的哀求的，团体可以依法向人民法院提告状讼。
第五章 团体信息处置者的任务
第五十一条 团体信息处置者该当依据团体信息的处置目标、处置方法、团体信息的品种以及对团体权柄的影响、大概存在的宁静危害等，接纳下列步伐确保团体信息处置运动切合执法、行政法例的划定，并避免未经受权的拜访以及团体信息泄漏、窜改、丧失： （四）公道确定团体信息处置的操纵权限，并活期对从业职员举行宁静教诲和培训； 第五十二条 处置团体信息到达国度网信部分划定数目的团体信息处置者该当指定团体信息掩护卖力人，卖力对团体信息处置运动以及接纳的掩护步伐等举行监视。 团体信息处置者该当公然团体信息掩护卖力人的联系方法，并将团体信息掩护卖力人的姓名、联系方法等报送实行团体信息掩护职责的部分。 第五十三条 本法第三条第二款划定的中华人民共和国境外的团体信息处置者，该当在中华人民共和国境内设立专门机构大概指定代表，卖力处置团体信息掩护相干事件，并将有关机构的称号大概代表的姓名、联系方法等报送实行团体信息掩护职责的部分。 第五十四条 团体信息处置者该当活期对其处置团体信息恪守执法、行政法例的状况举行合规审计。 第五十五条 有下列情况之一的，团体信息处置者该当事行进行团体信息掩护影响评价，并对处置状况举行记载： （三）委托处置团体信息、向其他团体信息处置者提供团体信息、公然团体信息； （五）其他对团体权柄有严重影响的团体信息处置运动。 第五十六条 团体信息掩护影响评价该当包罗下列内容： （一）团体信息的处置目标、处置方法等能否正当、合法、须要； （三）所接纳的掩护步伐能否正当、无效并与危害水平相顺应。 团体信息掩护影响评价陈诉和处置状况记载该当至多保管三年。 第五十七条 产生大概大概产生团体信息泄漏、窜改、丧失的，团体信息处置者该当立刻接纳弥补步伐，并关照实行团体信息掩护职责的部分和团体。关照该当包罗下列事变： （一）产生大概大概产生团体信息泄漏、窜改、丧失的信息品种、缘故原由和大概形成的危害； （二）团体信息处置者接纳的弥补步伐和团体可以接纳的加重危害的步伐； 团体信息处置者接纳步伐可以无效制止信息泄漏、窜改、丧失形成危害的，团体信息处置者可以欠亨知团体；实行团体信息掩护职责的部分以为大概形成危害的，有官僚求团体信息处置者关照团体。 第五十八条 提供紧张互联网平台办事、用户数目宏大、商业范例庞大的团体信息处置者，该当实行下列任务： （一）依照国度划定创建健全团体信息掩护合规制度系统，建立次要由内部成员构成的独立机构对团体信息掩护状况举行监视； （二）遵照公然、公正、公平的准绳，订定平台规矩，明白平台内产品大概办事提供者处置团体信息的标准和掩护团体信息的任务； （三）对严峻违背执法、行政法例处置团体信息的平台内的产品大概办事提供者，中止提供办事； （四）活期公布团体信息掩护社会责任陈诉，承受社会监视。 第五十九条 承受委托处置团体信息的受托人，该当按照本法和有关执法、行政法例的划定，接纳须要步伐保证所处置的团体信息的宁静，并帮忙团体信息处置者实行本法例定的任务。
第六章 实行团体信息掩护职责的部分
第六十条 国度网信部分卖力统筹和谐团体信息掩护事情和相干监视办理事情。国务院有关部分按照本法和有关执法、行政法例的划定，在各自职责范畴内卖力团体信息掩护和监视办理事情。 县级以上地方人民当局有关部分的团体信息掩护和监视办理职责，依照国度有关划定确定。 前两款划定的部分统称为实行团体信息掩护职责的部分。 第六十一条 实行团体信息掩护职责的部分实行下列团体信息掩护职责： （一）展开团体信息掩护宣布道育，引导、监视团体信息处置者展开团体信息掩护事情； （三）构造对使用步伐等团体信息掩护状况举行测评，并发布测评后果； 第六十二条 国度网信部分统筹和谐有关部分根据本法推进下列团体信息掩护事情： （二）针对小型团体信息处置者、处置敏感团体信息以及人脸辨认、人工智能等新技能、新使用，订定专门的团体信息掩护规矩、尺度； （三）支持研讨开辟和推行使用宁静、利便的电子身份认证技能，推进网络身份认证大众办事建立； （四）推进团体信息掩护社会化办事系统建立，支持有关机构展开团体信息掩护评价、认证办事； 第六十三条 实行团体信息掩护职责的部分实行团体信息掩护职责，可以接纳下列步伐： （一）扣问有关当事人，观察与团体信息处置运动有关的状况； （二）查阅、复制当事人与团体信息处置运动有关的条约、记载、账簿以及其他有关材料； （三）实行现场反省，对涉嫌守法的团体信息处置运动举行观察； （四）反省与团体信息处置运动有关的设置装备摆设、物品；对有证据证明是用于守法团体信息处置运动的设置装备摆设、物品，向本部分次要卖力人书面陈诉并经同意，可以查封大概扣押。 实行团体信息掩护职责的部分依法实行职责，当事人该当予以帮忙、共同，不得回绝、拦阻。 第六十四条 实行团体信息掩护职责的部分在实行职责中，发明团体信息处置运动存在较微风险大概产生团体信息宁静事情的，可以依照划定的权限和步伐对该团体信息处置者的法定代表人大概次要卖力人举行约谈，大概要求团体信息处置者委托专业机构对其团体信息处置运动举行合规审计。团体信息处置者该当依照要求接纳步伐，举行整改，消弭隐患。 实行团体信息掩护职责的部分在实行职责中，发明守法处置团体信息涉嫌犯法的，该当实时移送公安构造依法处置。 第六十五条 任何构造、团体有权对守法团体信息处置运动向实行团体信息掩护职责的部分举行赞扬、告发。收到赞扬、告发的部分该当依法实时处置，并将处置后果见告赞扬、告发人。 实行团体信息掩护职责的部分该当发布承受赞扬、告发的联系方法。
第七章 执法责任
第六十六条 违背本法例定处置团体信息，大概处置团体信息未实行本法例定的团体信息掩护任务的，由实行团体信息掩护职责的部分责令矫正，赐与告诫，充公守法所得，对守法处置团体信息的使用步伐，责令停息大概停止提供办事；拒不矫正的，并处一百万元以下罚款；对间接卖力的主管职员和其他间接责任职员处一万元以上十万元以下罚款。 有前款划定的守法举动，情节严峻的，由省级以上实行团体信息掩护职责的部分责令矫正，充公守法所得，并处五万万元以下大概上一年度业务额百分之五以下罚款，并可以责令停息相干商业大概休业整理、转达有关主管部分撤消相干商业允许大概撤消业务执照；对间接卖力的主管职员和其他间接责任职员处十万元以上一百万元以下罚款，并可以决议克制其在肯定限期内担当相干企业的董事、监事、初级办理职员和团体信息掩护卖力人。 第六十七条 有本法例定的守法举动的，按照有关执法、行政法例的划定记入信誉档案，并予以公示。 第六十八条 国度构造不实行本法例定的团体信息掩护任务的，由其下级构造大概实行团体信息掩护职责的部分责令矫正；对间接卖力的主管职员和其他间接责任职员依法赐与奖励。 实行团体信息掩护职责的部分的事情职员玩忽职守、滥用职权、徇情枉法[xùn qíng wǎng fǎ]，尚不组成犯法的，依法赐与奖励。 第六十九条 处置团体信息损害团体信息权柄形成侵害，团体信息处置者不克不及证明本人没有不对的，该当承当侵害补偿等侵权责任。 前款划定的侵害补偿责任依照团体因而遭到的丧失大概团体信息处置者因而取得的长处确定；团体因而遭到的丧失和团体信息处置者因而取得的长处难以确定的，依据实践状况确定补偿数额。 第七十条 团体信息处置者违背本法例定处置团体信息，损害浩繁团体的权柄的，人民查察院、执法划定的消耗者构造和由国度网信部分确定的构造可以依法向人民法院提告状讼。 第七十一条 违背本法例定，组成违背治安办理举动的，依法赐与治安办理处分；组成犯法的，依法追查刑事责任。
第八章 附 则
第七十二条 天然人因团体大概家庭事件处置团体信息的，不实用本法。 执法对各级人民当局及其有关部分构造实行的统计、档案办理运动中的团体信息处置有划定的，实用其划定。 （一）团体信息处置者，是指在团体信息处置运动中自主决议处置目标、处置方法的构造、团体。 （二）主动化决议计划，是指经过盘算机步伐主动剖析、评价团体的举动习气、兴味兴趣大概经济、安康、信誉情况等，并举行决议计划的运动。 （三）去标识化，是指团体信息颠末处置，使其在不借助分外信息的状况下无法辨认特定天然人的历程。 （四）匿名化，是指团体信息颠末处置无法辨认特定天然人且不克不及回复复兴的历程。
鄂公网>###号