个人信息保护法要点：【同意为原则、单独同意为例外，敏感信息从严处理】
> 依据：《中华人民共和国个人信息保护法》（2021年8月20日第十三届全国人民代表大会常务委员会第三十次会议通过，自2021年11月1日起施行，共八章七十四条）
一、所属科目 & 分值预估
- 科目：《思想政治与法律基础》
- 常考题型：单选 / 多选 / 判断
- 分值：4—8 分（高频）
- 命题特点：以「处理规则 — 特别规则 — 法律责任」三段式出题，最爱考合法性基础的情形归属、敏感个人信息范围，以及两级罚款数额
二、核心内容（必背）
（一）基本概念与基本原则
1. 个人信息：以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。个人信息的处理包括收集、存储、使用、加工、传输、提供、公开、删除等。
2. 基本原则：处理个人信息应当遵循合法、正当、必要和诚信原则，不得通过误导、欺诈、胁迫等方式处理；应当具有明确、合理的目的并与处理目的直接相关，采取对个人权益影响最小的方式；应当遵循公开、透明原则；应当保证个人信息的质量；处理者应当对其处理活动负责并采取必要措施保障安全。
3. 收集个人信息应当限于实现处理目的的最小范围，不得过度收集。
（二）处理个人信息的合法性基础（七项）
符合下列情形之一的，方可处理个人信息：
1. 取得个人的同意；
2. 为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需；
3. 为履行法定职责或者法定义务所必需；
4. 为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需；
5. 为公共利益实施新闻报道、舆论监督等行为，在合理的范围内处理个人信息；
6. 依照本法规定在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息；
7. 法律、行政法规规定的其他情形。
> 记忆要点：除第 1 项外，第 2 项至第 7 项情形不需取得个人同意。
（三）告知与同意规则
1. 基于个人同意处理个人信息的，该同意应当由个人在充分知情的前提下自愿、明确作出；法律、行政法规规定应当取得个人单独同意或者书面同意的，从其规定。
2. 个人信息的处理目的、处理方式和处理的个人信息种类发生变更的，应当重新取得个人同意。
3. 个人有权撤回其同意，处理者应当提供便捷的撤回同意的方式；撤回同意不影响撤回前基于个人同意已进行的处理活动的效力。
4. 处理者不得以个人不同意处理其个人信息或者撤回同意为由，拒绝提供产品或者服务；处理个人信息属于提供产品或者服务所必需的除外。
5. 处理前应当以显著方式、清晰易懂的语言真实、准确、完整地告知：处理者的名称或者姓名和联系方式；处理目的、处理方式，处理的个人信息种类、保存期限；个人行使本法规定权利的方式和程序；法律、行政法规规定应当告知的其他事项。上述事项变更的，应当将变更部分告知个人。
6. 除法律、行政法规另有规定外，个人信息的保存期限应当为实现处理目的所必要的最短时间。
（四）敏感个人信息的处理规则
1. 敏感个人信息，是一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。
2. 只有在具有特定的目的和充分的必要性，并采取严格保护措施的情形下，方可处理敏感个人信息。
3. 处理敏感个人信息应当取得个人的单独同意；法律、行政法规规定应当取得书面同意的，从其规定。
4. 处理敏感个人信息的，除一般告知事项外，还应当向个人告知处理敏感个人信息的必要性以及对个人权益的影响。
5. 处理不满十四周岁未成年人个人信息的，应当取得未成年人的父母或者其他监护人的同意，并应当制定专门的个人信息处理规则。
（五）其他高频规则
1. 共同处理：两个以上的处理者共同决定处理目的和处理方式的，应当约定各自的权利和义务；共同处理个人信息侵害个人信息权益造成损害的，应当依法承担连带责任。
2. 委托处理：应当与受托人约定委托处理的目的、期限、处理方式、个人信息的种类、保护措施以及双方的权利义务，并对受托人的处理活动进行监督；受托人不得超出约定处理，未经处理者同意不得转委托他人处理。
3. 向其他处理者提供个人信息：应当向个人告知接收方的名称或者姓名、联系方式、处理目的、处理方式和个人信息的种类，并取得个人的单独同意。
4. 自动化决策：应当保证决策的透明度和结果公平、公正，不得对个人在交易价格等交易条件上实行不合理的差别待遇；通过自动化决策方式向个人进行信息推送、商业营销，应当同时提供不针对其个人特征的选项，或者提供便捷的拒绝方式；作出对个人权益有重大影响的决定，个人有权要求说明并有权拒绝仅通过自动化决策方式作出决定。
5. 公共场所安装图像采集、个人身份识别设备，应当为维护公共安全所必需，遵守国家有关规定，并设置显著的提示标识；所收集的个人图像、身份识别信息只能用于维护公共安全的目的，取得个人单独同意的除外。
6. 处理者义务：制定内部管理制度和操作规程；对个人信息实行分类管理；采取相应的加密、去标识化等安全技术措施；合理确定操作权限并定期对从业人员进行安全教育和培训；制定并组织实施个人信息安全事件应急预案。处理个人信息达到国家网信部门规定数量的处理者，应当指定个人信息保护负责人，并应当定期对其处理个人信息遵守法律、行政法规的情况进行合规审计。
7. 事前个人信息保护影响评估的适用情形：处理敏感个人信息；利用个人信息进行自动化决策；委托处理个人信息、向其他处理者提供个人信息、公开个人信息；向境外提供个人信息；其他对个人权益有重大影响的处理活动。影响评估报告和处理情况记录应当至少保存三年。
8. 个人在个人信息处理活动中的权利：知情权、决定权，有权限制或者拒绝他人处理；查阅、复制权；请求将个人信息转移至其指定的处理者（符合条件时）；更正、补充权；删除权；要求处理者解释说明处理规则的权利。自然人死亡的，其近亲属为了自身的合法、正当利益，可以对死者的相关个人信息行使查阅、复制、更正、删除等权利，死者生前另有安排的除外。
三、必背考点清单
1. 施行日期：2021年11月1日；共八章七十四条。
2. 个人信息不包括匿名化处理后的信息；去标识化后的信息仍属于个人信息。
3. 处理个人信息的合法性基础共七项，其中六项不需取得个人同意。
4. 同意须「充分知情 + 自愿 + 明确」；法定情形下须取得「单独同意」或「书面同意」。
5. 处理目的、处理方式、处理的个人信息种类变更 → 应当重新取得同意。
6. 个人有权撤回同意，撤回不溯及既往。
7. 不得以不同意或撤回同意为由拒绝提供产品或服务，属于提供产品或服务所必需的除外。
8. 个人信息保存期限 = 实现处理目的所必要的最短时间。
9. 敏感个人信息 = 六类信息 + 不满十四周岁未成年人个人信息。
10. 处理敏感个人信息须取得单独同意；处理不满十四周岁未成年人个人信息须取得监护人同意并制定专门处理规则。
11. 共同处理侵害个人信息权益造成损害的，承担连带责任。
12. 受托人未经处理者同意不得转委托他人处理个人信息。
13. 自动化决策不得在交易价格等交易条件上实行不合理的差别待遇。
14. 公共场所图像采集、身份识别设备所收集信息只能用于维护公共安全。
15. 达到规定数量的处理者应指定个人信息保护负责人，并定期开展合规审计。
16. 个人信息保护影响评估报告和处理情况记录至少保存三年。
四、易混区分（考试挖坑点）
- 易混点 1：一般同意 vs 单独同意
- 正确结论：一般同意适用于绝大多数处理场景；单独同意适用于向其他处理者提供个人信息、处理敏感个人信息、公开个人信息、向境外提供个人信息、公共场所图像采集信息用于公共安全以外目的等法定情形。题干出现「单独同意」时，不能以「已取得同意」替代。
- 易混点 2：敏感个人信息 vs 一般个人信息
- 正确结论：判断标准是泄露或者非法使用的后果（人格尊严受侵害、人身财产安全受危害）。生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹六类信息，以及不满十四周岁未成年人的个人信息，均属于敏感个人信息，不是一般个人信息。
- 易混点 3：保存期限 vs 评估报告保存期限
- 正确结论：个人信息本身的保存期限是实现处理目的所必要的最短时间；个人信息保护影响评估报告和处理情况记录则是至少保存三年。题目问「至少保存几年」时，指的是后者。
- 易混点 4：一般罚款 vs 加重罚款
- 正确结论：一般违法（拒不改正）——并处一百万元以下罚款，对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款；情节严重——并处五千万元以下或者上一年度营业额百分之五以下罚款，对直接责任人处十万元以上一百万元以下罚款，并可以责令暂停相关业务或者停业整顿、通报有关主管部门吊销相关业务许可或者吊销营业执照，还可以决定禁止其在一定期限内担任相关企业的董事、监事、高级管理人员和个人信息保护负责人。
- 易混点 5：过错责任 vs 过错推定
- 正确结论：处理个人信息侵害个人信息权益造成损害，个人信息处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任——即适用过错推定，举证责任在处理者一方，而不是由个人先证明处理者有过错。
五、速记口诀（一句话）
“同意为原则、单独同意看场景；敏感六类加未满十四，最短期限、三年评估；一般百万、严重五千万。”
六、典型例题（1 道）
题目： 根据《个人信息保护法》，关于个人信息处理规则，下列说法正确的是（ ）。
A. 个人信息包括匿名化处理后的信息
B. 处理个人信息均应取得个人同意，不存在例外
C. 处理敏感个人信息应当取得个人的单独同意
D. 个人信息保护影响评估报告应当至少保存五年
答案： C
解析：
- A 错。个人信息不包括匿名化处理后的信息，属「定义边界」型陷阱。
- B 错。合法性基础共七项，其中第 2 项至第 7 项情形不需取得个人同意，属「绝对化表述」型陷阱。
- C 对。处理敏感个人信息应当取得个人的单独同意，法律、行政法规规定应当取得书面同意的从其规定。
- D 错。影响评估报告和处理情况记录应当至少保存三年，不是五年，属「数字混淆」型陷阱。
七、考点问答（3 问 3 答）
Q1： 什么情况下处理个人信息不需要取得个人同意？ A1： 为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需；为履行法定职责或者法定义务所必需；为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需；为公共利益实施新闻报道、舆论监督等行为，在合理的范围内处理个人信息；在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息；法律、行政法规规定的其他情形。
Q2： 个人撤回同意后有什么法律后果？ A2： 个人有权撤回其同意，处理者应当提供便捷的撤回方式；撤回同意不影响撤回前基于个人同意已进行的个人信息处理活动的效力；处理目的、处理方式、处理的个人信息种类发生变更的，还应当重新取得个人同意。
Q3： 处理敏感个人信息与处理一般个人信息的主要区别是什么？ A3： 一是范围更窄，仅限六类敏感个人信息以及不满十四周岁未成年人的个人信息；二是门槛更高，须具有特定的目的和充分的必要性并采取严格保护措施；三是程序更重，须取得单独同意，还应额外告知处理的必要性及对个人权益的影响；四是涉及不满十四周岁未成年人时，须取得其父母或者其他监护人的同意，并制定专门的个人信息处理规则。