基础概念：
网络安全，是指通过采取必要措施，防范对网络的攻击、侵入、干扰、破坏和非法使用以及意外事故，使网络处于稳定可靠运行的状态，以及保障网络数据的完整性、保密性、可用性的能力。
---《中华人民共和国网络安全法》
网络运营者，是指网络的所有者、管理者和网络服务提供者。
---《中华人民共和国网络安全法》
网络数据，是指通过网络收集、存储、传输、处理和产生的各种电子数据。
---《中华人民共和国网络安全法》
个人信息，是指以电子或者其他方式记录的能够到单独或者与其他信息结合识别自然人个人身份的各种信息，包括但不限于自然人的性能、出生日期、身份证件号码、个人生物识别信息、住址、电话号码等。
---《中华人民共和国网络安全法》
数据处理，包括数据的收集、存储、使用、加工、传输、提供、公开等。
---《中华人民共和国数据安全法》
数据安全，是指通过采取必要措施，确保数据处于有效保护和合法利用的状态，以及具备保障持续安全状态的能力。
---《中华人民共和国数据安全法》
密码，是指采用特定变换的方法对信息等进行加密保护、安全认证的技术、产品和服务。
--- 《中华人民共和国密码法》
个人信息处理者，是指在个人信息处理活动中自主决定处理目的、处理方式的组织、个人。
--- 《中华人民共和国个人信息保护法》
自动化决策，是指通过计算机程序自动分析、评估个人的行为习惯、兴趣爱好或者经济、健康、信用状况等，并进行决策的活动。
--- 《中华人民共和国个人信息保护法》
去标识化，是指个人信息经过处理，使其在不借助额外信息的情况下无法识别特定自然人的过程。
--- 《中华人民共和国个人信息保护法》
匿名化，是指个人信息经过处理无法识别特定自然人且不能复原的过程。
--- 《中华人民共和国个人信息保护法》
一、网络安全法
2016年11月7日发布，2017年6月1日正式实施。
1.1 总则
第二条：对于在中华人民共和国境内建设、运营、维护和使用网络，以及网络安全的监督管理，对需要遵守该法律，适用本法。
第八条：国家网信部门负责统筹协调网络安全工作和相关监督管理工作。国务院电信主管部门、公安部门和其他有关机关依照本法和有关法律、行政法规的规定，在各自职责范围内负责网络安全保护和监督管理工作。县级以上地方人民政府有关部门的网络安全保护和监督管理职责，按照国家有关规定确定。
第十条：建设、运营网络或者通过网络提供服务，应当依照法律、行政法规的规定和国家标准的强制性要求，采取技术措施和其他必要措施，保障网络安全、稳定运行，有效应对网络安全事件，防范网络违法犯罪活动，维护网络数据的完整性、保密性和可用性。
第十四条：任何个人和组织有权对危害网络安全的行为向网信、电信、公安等部门举报。
1.2 网络安全支持与促进
第十五条：国家建立和完善网络安全标准体系。国务院标准化行政主管部门和国务院其他有关部门根据各自的职责，组织制定并适时修订有关网络安全管理以及网络产品、服务和运行安全的国家标准、行业标准。
1.3 网络运行安全
1.3.1 一般规定
第二十一条：国家实行网络安全等级保护制度。网络运营者应当按照网络安全等级保护制度的要求，履行下列安全保护义务，保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、篡改:
1. 制定内部安全管理制度和操作规程，确定网络安全负责人，落实网络安全保护责任。
2. 采取防范计算机病毒和网络攻击、网络侵入等危害网络安全行为的技术措施。
3. 采取监测、记录网络运行状态、网络安全事件的技术措施，并按照规定留存相关的网络日志不少于六个月。
4. 采取数据分类、重要数据备份和加密等措施。
5. 法律、行政法规规定的其他业务。
第二十二条：网络产品、服务应当符合相关国家标准的强制性要求。网络产品、服务的提供者不得设置恶意程序；发现其网络产品、服务存在安全缺陷、漏洞等风险时，应当立即采取补救措施，按照规定及时告知用户并向有关主管部门报告。
网络产品、服务的提供者应当为其产品、服务持续提供安全维护；在规定或者当事人约定的期限内，不得终止提供安全维护。
网络产品、服务具有收集用户信息功能的，其提供者应当向用户明示并取得同意；涉及用户个人信息的，还应当遵守本法和有关法律、行政法规关于个人信息保护的规定。
第二十三条：网络关键设备和网络安全专用产品应当按照相关国家标准的强制性要求，由具备资格的机构安全认证合格或者安全检测符合要求后，方可销售或提供。
第二十四条：网络运营者应当要求用户提供真实身份信息。用户不提供真实身份信息的，网络运营者不得为其提供相关服务。
第二十五条：网络运营者应当制定网络安全事件应急预案。
第二十六条：开展网络安全认证、检测、风险评估等活动。
1.3.2 关键信息基础设施的运行安全
第三十一条：在网络安全等级保护制度的基础上，实行重点保护。关键信息基础设施的具体范围和安全保护办法由国务院制定。
第三十二条：按照国务院规定的职责分工，负责关键信息基础设施安全保护工作的部门分别编制并组织实施本行业、本领域的关键信息基础设施安全规划，指导和监督关键信息基础设施运行安全保护工作。
第三十三条：建设关键信息基础设施应当确保其具有支持业务稳定、持续运行的性能，并保证安全技术措施同步规划、同步建设、同步使用。
第三十四条：关键信息基础设施的运营者还应当履行下列安全保护义务：
1. 设置专门安全管理机构和安全管理负责人，并对该负责人和关键岗位的人员进行安全背景审查；
2. 定期对从业人员进行网络安全教育、技术培训和技能考核；
3. 对重要系统和数据库进行容灾备份；
4. 制定网络安全事件应急预案，并定期进行演练；
5. 法律、行政法规规定的其他业务；
第三十五条：关键信息基础设施的运营者采购网络产品和服务，可能影响国家安全的，应当通过国家网信部门会同国务院有关部门组织的国家安全审查。
第三十六条：关键信息基础设施的运营者采购网络产品和服务，应当按照规定与提供者签订安全保密协议，明确安全和保密业务与责任。
第三十七条：关键信息基础设施的运营者在中华人民共和国境内运营中收集和产生的个人信息和重要数据应当在境内存储。
第三十八条：关键信息基础设施的运营者应当自行或者委托网络安全服务机构对其网络的安全性和可能存在的风险每年至少进行一次检测评估，并将检测评估情况和改进措施报送相关负责关键信息基础设施安全保护工作的部门。
1.3.3 网络信息安全
第四十条：网络运营者应当对其收集的用户信息严格保密，并建立健全用户信息保护制度。
第四十一条：网络运营者收集、使用个人信息，应当遵循合法、正当、必要的原则，公开收集、使用规则，明示收集、使用信息的目的、方式和范围，并经被收集者同意。
网络运营者不得收集与其提供的服务无关的个人信息，不得违反法律、行政法规的规定和双方的约定收集、使用个人信息，并应当依照法律、行政法规的规定和与用户的约定，处理其保存的个人信息。
第四十二条：网络运营者不得泄露、篡改、毁损其收集的个人信息；未经被收集者同意，不得向他人提供个人信息。但是，经过处理无法识别特定个人且不能复原的除外。
网络运营者应当采取技术措施和其他必要措施，确保其收集的个人信息安全，防止信息泄露、毁损、丢失。在发生或者可能发生个人信息泄露、毁损、丢失的情况时，应当立即采取补救措施，按照规定及时告知用户并向有关主管部门报告。
第四十三条：任何个人和组织不得窃取或者以其他非法方式获取个人信息，不得非法出售或者非法向他人提供个人信息。
第四十六条：任何个人和组织应对其使用网络的行为负责。
第四十七条：任何个人和组织发送的电子信息、提供的应用软件，不得设置恶意软件，不得含有法律、行政法规禁止发布或者传输的信息。
1.3.4 监测预警与应急处置
第五十二条：负责关键信息基础设施安全保护工作的部门，应当建立健全本行业、本领域的网络安全监测预警和信息通报制度，并按照规定报送网络安全监测预警信息。
第五十五条：发生网络安全事件，应当立即启动网络安全事件应急预案，对网络安全事件进行调查和评估，要求网络运营者采取技术措施和其他必要措施，消除安全隐患，防止危害扩大，并及时向社会发布与公众有关的警示信息。
第五十七条：因网络安全事件，发生突发事件或者生产安全事故的，应当依照《中华人民共和国突发事件应对法》、《中华人民共和国安全生产法》等有关法律、行政法规的规定处置。
二、密码法
2019年10月发布，2020年1月1日正式实施。
2.1 总则
第三条：密码工作坚持总体国家安全观，遵循统一领导、分级负责，创新发展、服务大局、依法管理、保障安全的原则。
第五条：国家密码管理部门负责管理全国的密码工作。县级以上地方各级密码管理部门负责本行政区域的密码工作。
国家机关和涉及密码工作的单位在其职责范围内负责本机关、本单位或者本系统的密码工作。
第六条：国家对密码实行分类管理。密码分为核心密码、普通密码和商用密码。
第七条：核心密码、普通密码用于保护国家秘密信息，核心密码保护信息的最高密级为绝密级，普通密码保护信息的最高秘技为机密级。核心密码、普通密码属于国家秘密。
第八条：商用密码用于保护不属于国家秘密的信息。
2.2 核心密码、普通密码
第十四条：在有线、无线通信中传递的国家秘密信息，以及存储、处理国家秘密信息的信息系统，应当依照法律、行政法规和国家有关规定使用核心密码、普通密码进行加密保护、安全认证。
第十五条：从事核心密码、普通密码科研、生产、服务、监测、装备、使用和销毁等工作的机构应当按照法律、行政法规、国家有关规定以及核心密码、普通密码标准的要求，建立健全安全管理制度，采取严格的保密措施和保密责任制，确保核心密码、普通密码的安全。
2.3 商用密码
第二十二条：国家建立和完善商用密码标准体系。
第二十三条：国家推动参与商用密码国际标准化活动，参与制定商用密码国际标准，推进商用密码中国标准与国外标准之间的转化运用。
第二十四条：商用密码从业单位开展商用密码活动，应当符合有关法律、行政法规、商用密码强制性国家标准以及该从业单位公开标准的技术要求。
第二十六条：涉及国家安全、国计民生、社会公共利益的商用密码产品，应当依法列入网络关键设备和网络安全专用产品目录，由具备资格的机构检测认证合格后，方可销售或者提供。
商用密码服务使用网络关键设备和网络安全专用产品的，应当经商用密码认证机构对该商用密码服务认证合格。
第二十七条：法律、行政法规和国家有关规定要求使用商用密码进行保护的关键信息基础设施，其运营者应当使用商用密码进行保护，自行或者委托商用密码检测机构开展商用密码应用安全性评估。商用密码应用安全性评估应当与关键信息基础设施安全检测评估、网络安全等级测评制度相衔接，避免重复评估、测试。
关键信息基础设施的运营者采购涉及商用密码的网络产品和服务，可能影响国家安全的，应当按照《中华人民共和国网络安全法》的规定，通过国家网信部门会同国家密码管理部门等有关部门组织的国家安全审查。
第二十八条：国务院商务主管部门、国家密码管理部门依法对涉及国家安全、社会公共利益且具有加密保护功能的商用密码实施进口许可，对涉及国家安全、社会公共利益或者中国承担国际义务的商用密码实施出口管制。商用密码进口许可清单和出口管制清单由国务院商务主管部门会同国家密码管理部门和海关总署制定并公布。
大众消费类产品所采用的商用密码不实行进口许可和出口管制制度。
第二十九条：国家密码管理部门对采用商用密码技术从事电子政务电子认证服务的机构进行认定，会同有关部门负责政务活动中使用电子签名、数据电文的管理。
第三十一条：密码管理部门和有关部门建立日常监管和随机抽查相结合的商用密码事中事后监管制度，建立统一的商用密码监督管理信息平台，推进事中事后监管与社会信用体系相衔接，强化商用密码从业单位自律和社会监督。
密码管理部门和有关部门及其工作人员不得要求商用密码从业单位和商用密码检测、认证机构向其披露源代码等密码相关专有信息，并对其在履行职责中知悉的商业秘密和个人隐私严格保密，不得泄露或者非法向他人提供。
三、数据安全法
2021年6月10日发布，2021年9月1日起实施。
3.1 总则
第二条：在中华人民共和国境内开展数据处理活动及其安全监督，适用本法。
第四条：维护数据安全，应当坚持总体国家安全观，建立健全数据安全治理体系，提高数据安全保障能力。
3.2 数据安全与发展
第十九条：国家建立健全数据交易管理制度，规范数据交易行为 ，培育数据交易市场。
3.3 数据安全制度
第二十一条：国家建立数据分类分级保护制度。国家数据安全工作协调机制统筹协调有关部门制定重要数据目录，加强对重要数据的保护。
第二十二条：国家建立集中统一、高效权威的数据安全风险评估、报告、信息共享、监测预警机制。
第二十三条：国家建立数据安全应急处置机制。
第二十四条：国家建立数据安全审查制度。
第二十五条：国家对与维护国家安全和利益、履行国际义务相关的属于管制物项的数据依法实施出口管制。
3.4 数据安全保护义务
第二十七条：开展数据处理活动应当依照法律、法规的规定，建立健全全流程数据安全管理制度，组织开展数据安全教育培训，采取相应的技术措施和其他必要措施，保障数据安全。利用互联网等信息网络开展数据处理活动，应当在网络安全等级保护制度的基础上，履行上述数据安全保护义务。
重要数据的处理者应当明确数据安全负责人和管理机构，落实数据安全保护责任。
第二十九条：开展数据处理活动应当加强风险监测，发现数据安全缺陷、漏洞等风险时，应当立即采取补救措施；发生数据安全事件时，应当立即采取处置措施，按照规定及时告知用户并向有关主管部门报告。
第三十条：重要数据的处理者应当按照规定对其数据处理活动定期开展风险评估，并向有关主管部门报送风险评估报告。
风险评估报告应当包括处理的重要数据的种类、数量，开展数据处理活动的情况，面临的数据安全风险及其应对措施等。
第三十一条：关键信息基础设施的运营者在中华人民共和国境内运营中收集和产生的重要数据的出境安全管理，适用《中华人民共和国网络安全法》的规定；其他数据处理者在中华人民共和国境内运营中收集和产生的重要数据的出境安全管理办法，由国家网信部门会同国务院有关部门制定。
第三十三条：从事数据交易中介服务的机构提供服务，应当要求数据提供方说明数据来源，审核交易双方的身份，并留存审核、交易记录。
第三十四条：法律、行政法规规定提供数据处理相关服务应当取得行政许可的，服务提供者应当依法取得许可。
三十六条：中华人民共和国主管机关根据有关法律和中华人民共和国缔结或者参加的国际条约、协定，或者按照平等互惠原则，处理外国司法或者执法机构关于提供数据的请求。非经中华人民共和国主管机构批准，境内的组织、个人不得向外国司法或者执法机构提供存储于中华人民共和国境内的数据。
四、个人信息保护法
2021年8月20日发布，2021 年11月1日起实施。
4.1 总则
第二条：自然人的个人信息受法律保护，任何组织、个人不得侵害自然人的个人信息权益。
第三条：在中华人民共和国境内处理自然人个人信息的活动，适用于本法。
在中国人民共和国境外处理中华人民共和国境内自然人个人信息的活动，有下列情形之一的，也适用本法：
1. 以向境内自然人提供产品或者服务为目的；
2. 分析、评估境内自然人的行为；
3. 法律、行政法规规定的其他情形；
第四条：个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。
个人信息的处理包括个人信息的收集、存储、使用、加工、传输、提供、公开、删除等。
第五条：处理个人信息应当遵守合法、正当、必要和诚信原则，不得通过误导、欺诈、胁迫等方式处理个人信息。
第六条：处理个人信息应当具有明确、合理的目的，并应当与处理目的直接相关，采取对个人权益影响最小的方式。
收集个人信息，应当限于实现处理目的的最小范围，不得过度收集个人信息。
第七条：处理个人信息应当遵循公开、透明原则，公开个人信息处理规则，明示处理的目的、方式和范围。
第八条：处理个人信息应当保证个人信息的质量，避免因个人信息不准确、不完整对个人权益造成不利影响。
第九条：个人信息处理者应当对个人信息处理活动负责，并采取必要措施保障所处理的个人信息的安全。
第十条：任何组织、个人不得非法收集、使用、加工、传输他人个人信息，不得非法买卖、提供或者公开他人个人信息；不得从事危害国家安全、公共利益的个人信息处理活动。
4.2 个人信息处理规则
4.2.1 一般规定
第十三条：符合下列情形之一的，个人信息处理者方可处理个人信息：
1. 取得个人的同意；
2. 为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集团合同实施人力资源管理所必需；
3. 为履行法定职责或者法定义务所必需；
4. 为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需；
5. 为公共利益实施新闻报道、舆论监督等行为，在合理的范围内处理个人信息；
6. 依照本法规定在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息；
7. 法律、行政法规规定的其他情形；
依照本法其他有关规定，处理个人信息应当取得个人同意，但是有前款第二项至第七项规定情形的，不需取得个人同意。
第十四条：基于个人同意处理个人信息的，该同意应当个人在充分知情的前提下自愿、明确做出。法律、行政法规规定处理个人信息应当取得个人单独同意或者书面同意的，从其规定。
个人信息的处理目的、处理方式和处理的个人信息种类发生变更的，应当重新取得个人同意。
第十五条：基于个人同意处理个人信息的，个人有权撤回其同意。个人信息处理者应当提供便携的撤回同意的方式。
个人撤回同意，不影响撤回前基于个人同意已进行的个人信息处理的效力。
第十六条：个人信息处理者不得以个人不同意处理其个人信息或撤回同意为由，拒绝提供产品或服务；处理个人信息属于提供产品或者服务所必需的除外。
第十七条：个人信息处理者在处理个人信息前，应当以显著方式、清晰易懂的语言真实、准确、完整地向个人告知下列事项：
1. 个人信息处理者的名称或姓名和联系方式；
2. 个人信息的处理目的、处理方式、处理的个人信息种类、保存期限；
3. 个人行使本法规定权利的方式和程序；
4. 法律、行政法规规定应当告知的其他事项；
前款规定事项发生变更的，应当将变更部分告知个人。
个人信息处理者通过制定个人信息处理规则的方式告知第一款规定事项的，处理规则应当公开，并且便于查阅和保存。
第十八条：个人信息处理者处理个人信息，有法律、行政法规规定应当保密或者不需要告知的情形的，可以不向个人告知前条第一款规定的事项。
紧急情况下为保护自然人的生命健康和财产安全无法及时向个人告知的，个人信息处理者应当在紧急情况消除后及时告知。
第十九条：除法律、行政法规另外有规定外，个人信息的保存期限应当为实现处理目的所必要的最短时间。
第二十条：两个以上的个人信息处理者共同决定个人信息的处理目的和处理方式，应当约定各自的权利和义务。但是，该约定不影响个人向其中任何一个个人信息处理者要求行使本法规定的权利。
个人信息处理者共同处理个人信息，侵害个人信息权益造成损害的，应当依法承担连带责任。
第二十一条：个人信息处理者委托处理个人信息的，应当与委托人约定委托处理的目的、期限、处理方式、个人信息的种类、保护措施以及双方的权利和义务等，并对受托人的个人信息处理活动进行监督。
受托人应当按照约定处理个人信息，不得超出约定的处理目的、处理方式等处理个人信息；委托合同不生效、无效、被撤销或终止的，受托人应当将个人信息返还给个人信息处理者或者予以删除，不得保留。
未经个人信息处理者同意，受托人不得转委托他人处理个人信息。
第二十二条：个人信息处理因合并、分立、解散、被宣告破产等原因需要转移个人信息的，应当向个人告知接收方的名称或者姓名和联系方式。接收方应当继续履行个人信息处理者的义务。接收方变更原先的处理目的、处理方式的，应当依照本法规定重新取得个人同意。
第二十三条：个人信息处理者向其他个人信息处理者提供其处理的个人信息的，应当向个人告知接收方的名称或者姓名、联系方式、处理目的、处理方式和个人信息的种类，并取得个人的单独同意。接收方应当在上述处理目的、处理方式和个人信息的种类等范围内处理个人信息。接收方变更原先的处理目的、处理方式的，应当依照本法规定重新取得个人同意。
第二十四条：个人信息处理者利用个人信息进行自动化决策，应当保证决策的透明度和结果公平、公正，不得对个人在交易价格等交易条件上实行不合理的差别待遇。
通过自动化决策方式向个人进行消息推送、商业营销，应当同时提供不针对其个人特征的选项，或者向个人提供便携的拒绝方式。
第二十五条：个人信息处理者不得公开其处理的个人信息，取得个人单独同意的除外。
第二十六条：在公共场所安装图像采集、个人身份识别设备，应当为维护公共安全所必需，遵守国家有关规定，并设置显著的提示标识。所收集的个人图像、身份识别信息只能用于维护公共安全的目的，不得用于其他目的；取得个人单独同意的除外。
第二十七条：个人信息处理者可以在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息；个人明确拒绝的除外。个人信息处理者处理已公开的个人信息，对个人权益有重大影响的，应当依照本法规定取得个人同意。
4.2.2 敏感个人信息的处理规则
第二十八条：敏感个人信息是一旦泄露或者非法使用，容易导致自然人的人格尊严收到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。
只有在具有特定的目的和充分的必要性，并采取严格保护措施的情形下，个人信息处理者方可处理敏感个人信息。
第二十九条：处理敏感个人信息应当取得个人的单独同意；法律、行政法规规定处理敏感个人信息应当取得书面同意的，从其规定；
第三十条：个人信息处理者处理敏感个人信息的，除本法第十七条第一款规定的事项外，还应当向个人告知处理敏感个人信息的必要性以及对个人权益的影响；依照本法规定可以不向个人告知的除外。
第三十一条：个人信息处理者处理不满十四周岁未成年人个人信息的，应当取得未成年人的父母或者其他监护人的同意。
个人信息处理者处理不满十四周岁未成年人个人信息的，应当制定专门的个人信息处理规则。
第三十二条：法律、行政法规对处理敏感个人信息规定应当取得相关行政许可或者做出其他限制的，从其规定。
4.2.3 国家机关处理个人信息的特别规定
第三十四条：国家机关履行法定职责处理个人信息，应当依照法律、行政法规规定的权限、程序进行，不得超出履行法定职责所必需的范围和限度。
第三十五条：国家机关为履行法定职责处理个人信息，应当依照本法规定履行告知义务。有本法第十八条第一款规定的情形，或者告知将妨碍国家机关履行法定职责的除外。
4.3 个人信息跨境提供的规则
第三十八条：个人信息处理者因业务等需要，确需向中华人民共和国境外提供个人信息的，应当具备下列条件之一：
1. 依照本法第四十条的规定通过国家网信部门组织的安全评估；
2. 按照国家网信部门的规定经专业机构进行个人信息保护认证；
3. 按照国家网信部门制定的标准合同与境外接收方订立合同，约定双方的权利和义务；
4. 法律、行政法规或者国家网信部门规定的其他条件；
个人信息处理者应当采取必要措施，保障境外接收方处理个人信息的活动达到本法规定的个人信息保护标准。
第三十九条：个人信息处理者向中华人民共和国境外提供个人信息的，应当向个人告知境外接收方的名称或者姓名、联系方式、处理目的、处理方式、个人信息的种类以及个人向境外接收方行使本法规定权利的方式和程序等事项，并取得个人的单独同意。
第四十条：关键信息基础设施运营者和处理个人信息达到国家网信部门规定数量的个人信息处理者，应当将在中华人民共和国境内收集和产生的个人信息存储在境内。确需向境外提供的，应当通过国家网信部门组织的安全评估；法律、行政法规和国家网信部门规定可以不进行安全评估的，从其规定。
第四十一条：中华人民共和国主管机关根据有关法律和中华人民共和国缔结或者参加的国际条约、协定，或者按照平等互惠原则，处理外国司法或者执法机构关于提供存储于境内个人信息的请求。非经中华人民共和国主管机关批准，个人信息处理者不得向外国司法或者执法机构提供存储于中华人民共和国境内的个人信息。
4.4 个人在个人信息处理活动中的权利
第四十四条：个人对其个人信息的处理享有知情权、决定权、有权限制或者拒绝他人对其个人信息进行处理；法律、行政法规另有规定的除外。
第四十五条：个人有权向个人信息处理者查阅、复制其个人信息；有本法第十八条第一款、第三十五条规定情形的除外。
个人请求查阅、复制其个人信息的，个人信息处理者应当及时提供。
个人请求者将个人信息转移至其指定的个人信息处理者，符合国家网信部门规定条件的，个人信息处理者应当提供转移的途径。
第四十六条：个人发现其个人信息不准确或者不完整的，有权请求个人信息处理者更正、补充。
个人请求更正、补充其个人信息的，个人信息处理者应当对其个人信息予以核实，并及时更正、补充。
第四十七条：有下列情形之一的，个人信息处理者应当主动删除个人信息；个人信息处理者未删除的，个人有权请求删除：
1. 处理目的已实现、无法实现或者为实现处理目的不再必要；
2. 个人信息处理者停止提供产品或者服务，或者保存期限已届满；
3. 个人撤回同意；
4. 个人信息处理者违法法律、行政法规或者违反约定处理个人信息；
5. 法律、行政法规规定的其他情形；
法律、行政法规规定的保存期限未届满，或者删除个人信息从技术上难以实现的，个人信息处理者应当停止除存储和采取必要的安全保护措施之外的处理。
第四十八条：个人有权要求个人信息处理者对其个人信息处理规则进行解释说明。
第四十九条：自然人死亡的，其近亲属为了自身的合法、正当利益，可以对死者的相关个人信息行使本章规定的查阅、复制、更正、删除等权利；死者生前另有安排的除外。
4.5 个人信息处理者的义务
第五十一条：个人信息处理者应当根据个人信息的处理目的、处理方式、个人信息的种类以及对个人权益的影响、可能存在的安全风险等，采取下列措施确保个人信息处理活动符合法律、行政法规的规定，并防止未经守权的访问以及个人信息泄露、篡改、丢失：
1. 制定内部管理制度和操作规程；
2. 对个人信息实行分类管理；
3. 采取相应的加密、去标识化等安全技术措施；
4. 合理确定个人信息处理的操作权限，并定期对从业人员进行安全教育和培训；
5. 制定并组织实施个人信息安全事件应急预案；
6. 法律、行政法规规定的其他措施；
第五十二条：处理个人信息达到国家网信部门规定数量的个人信息处理者应当指定个人信息保护负责人，负责对个人信息处理活动以及采取的保护措施等进行监督。
个人信息处理者应当公开个人信息保护负责人的联系方式，并将个人信息保护负责人的姓名、联系方式等报送履行个人信息保护职责的部门。
第五十三条：本法第三条第二款规定的中华人民共和国境外的个人信息处理者，应当在中华人民共和国境内设立专门机构或者指定代表，负责防护力个人信息保护相关事务，并将有关机构的名称或者代表的姓名、联系方式等报送履行个人信息保护职责的部门。
第五十四条：个人信息处理者应当定期对其处理个人信息遵守法律、行政法规的情况进行合规审计。
第五十五条：有下列情形之一的，个人信息处理者应当事前进行个人信息保护影响评估，并对处理情况进行记录：
1. 处理敏感个人；
2. 利用个人信息进行自动化决策；
3. 委托处理个人信息、向其他个人信息处理者提供个人信息、公开个人信息；
4. 向境外提供个人信息；
5. 其他对个人权益有重大影响的个人信息处理活动；
第五十六条：个人信息保护影响评估应当包括下列内容：
1. 个人信息的处理目的、处理方式等是否合法、正当、必要；
2. 对个人权益的影响及安全风险；
3. 所采取的保护措施是否合法、有效并与风险程度相适应；
个人信息保护影响评估报告和处理情况记录应当至少保存三年。
第五十七条：发生或者可能发生个人信息泄露、篡改、丢失的，个人信息处理者应当立即采取补救措施，并通知履行个人信息保护职责的部门和个人。通知应包括下列事项：
1. 发生或者可能发生个人信息泄露、篡改、丢失的信息种类、原因和可能造成的危害；
2. 个人信息处理者采取的补救措施和个人可以采取的减轻危害的措施；
3. 个人信息处理者的联系方式；
个人信息处理者采取措施能够有效避免信息泄露、篡改、丢失造成危害的，个人信息处理者可以不通知个人；履行个人信息保护职责的部门认为可能造成危害的，有权要求个人信息处理者通知个人。
第五十八条：提供重要互联网平台服务、用户数量巨大、业务类型复杂的个人信息处理者，应当履行下列业务：
1. 按照国家规定建立健全个人信息保护合规制度体系，成立主要由外部成员组成的独立机构对个人信息保护情况进行监督；
2. 遵循公开、公平、公正的原则，制定平台规则，明确平台内产品或者服务提供者处理个人信息的规范和保护个人信息的业务；
3. 对严重违法法律、行政法规处理个人信息的平台内的产品或者服务提供者，提供提供服务；
4. 定期发布个人信息保护社会责任报告，接受社会监督；
第五十九条：接受委托处理个人信息的受托人，应当依照本法和有关法律、行政法规的规定，采取必要措施保障所处理的个人信息的安全，并协助个人信息处理者履行本法规定的义务。