2021年8月20日，十三届全国人大常委会第三十次会议表决通过《中华人民共和国个人信息保护法》。自2021年11月1日起施行。

立法过程

2018年9月7日，《个人信息保护法》列入十三届全国人大常委会立法规划；同年，全国人大常委会法工委会同中央网信办开始着手研究起草《个人信息保护法》。

2020年10月21日，《中华人民共和国个人信息保护法（草案）》（以下简称“《一审稿》”）正式公开，向全社会公开征求意见。

2021年4月26日，第十三届全国人大常委会第二十八次会议对《中华人民共和国个人信息保护法（草案二次审议稿）》（以下简称“《二审稿》”）进行了审议。

2021年8月20日，第十三届全国人大常委会第三十次会议审议通过《个人信息保护法》，并将于2021年11月1日起施行。本法共计八章七十四条。

《个人信息保护法》对个人信息保护问题作出了全面性、基础性的规定，能够有效实现个人信息保护法治环境。具体来看，主要包括六个方面内容，使得个人信息的保护有法可依。

主要内容

1明确界定了个人信息的内涵及调整范围

个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。

个人信息的处理包括个人信息的收集、存储、使用、加工、传输、提供、公开、删除等。

2明确了个人信息处理的基本原则

本法提出了处理个人信息需要遵循的原则和要求。处理个人信息不仅要满足合法、正当、必要，还要有明确、合理的目的，同时必须采取对个人权益影响最小的方式，限于实现处理目的的最小范围，遵循公开、透明的原则，保证个人信息的准确、完整性，并采取必要措施保障个人信息的安全。

3明确了个人信息处理的规则

首先，本法第二章对“知情—同意规则”提出了明确要求。必须要保证个人的知情权，明确在处理个人信息前，个人信息处理者应当以显著方式、清晰易懂的语言真实、准确、完整地将个人信息处理的目的、处理方式等相关事项告知个人，个人在充分知情的前提下自愿、明确作出同意。

其次，对敏感个人信息及未成人信息的处理作出了更高的要求。处理敏感个人信息除一般规则外，还应当向个人告知处理敏感个人信息的必要性以及对个人权益的影响。处理未成年人信息还应当取得未成年人的父母或者其他监护人的同意并制定专门的规则。

再次，本法对机关处理个人信息须按照法定程序及权限进行，不得超出履行法定职责所必需的范围和限度并履行相应的告知义务。

最后，本法还规定了个人信息跨境提供的合法性基础，包括通过网信部门组织的安全评估、按照网信部门的规定经专业机构进行个人信息保护认证、按照网信部门制定的标准合同与境外接收方订立合同并约定双方的权利和义务等，并且规定了中华人民共和国缔结或者参加的国际条约、协定也可以作为合法基础。但同时还需要注意个人信息跨境提供，个人信息处理者应当保障境外接收方处理个人信息的活动达到本法规定的个人信息保护标准。

4明确了个人在个人信息处理活动的权利及义务

本法第四章赋予了个人在个人信息处理活动中的权利，包括查阅复制权、可携带权、更正补充权、删除权、解释说明权等权利。

本法第五章对个人信息处理者的职责和义务提出了严格的要求，应当根据具体的处理情形采取必要的措施，并在涉及敏感个人信息、自动化决策等情形时还需在事前进行个人信息保护影响评估，如果处理个人信息数量达到网信部门规定数量的，还应当指定个人信息保护负责人。发生或可能发生个人信息泄露、篡改、丢失时，个人信息处理者应当立即采取补救措施，并将相关情况通知履行个人信息保护职责的部门和个人。同时，提供重要互联网平台服务、用户数量巨大、业务类型复杂的个人信息处理者还应履行更高水平的保护义务。

5明确规定了个人信息保护职责部门的职责

本法规定了履行个人信息保护职责部门的职责。网信部门负责统筹协调个人信息保护工作和相关监督管理工作。履行个人信息保护职责的部门需要接受、处理与个人信息保护有关的投诉、举报，并调查、处理违法个人信息处理活动。对于个人信息处理活动有任何疑问的任何组织、个人都有权向履行个人信息保护职责的部门进行投诉、举报。收到投诉、举报的部门应当依法及时处理，并将处理结果告知投诉、举报人。

6明确了违反本法须承担的法律责任

行政责任—本法规定了全面的行政处罚手段，包括警告、没收违法所得、罚款(包括对单位和责任人员)、责令暂停相关业务或者停业整顿、吊销许可或者营业执照。其中，对于违法处理个人信息的应用程序，可以责令暂停或者终止提供服务。

民事责任—规定了过错推定原则，处理个人信息侵害个人信息权益造成损害，个人信息处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任。

《个人信息保护法》的出台标志着我国进入了更高水平的个人信息保护的法治时代，同时热切回应了身处网络时代生活的人们最关心最直接最现实的利益问题。