结论前置：企业处理个人信息，须在收集、存储、使用、委托、跨境、销毁六个环节分别履行义务：收集前履行告知并取得同意，敏感个人信息须取得单独同意；存储与使用须分类分级并建立全流程安全管理制度；向境外提供须满足三条路径之一；五类情形须事前开展个人信息保护影响评估，评估报告与处理记录至少保存三年。依据为《个人信息保护法》与《数据安全法》。本文适用于 2026 年境内企业的一般情形。
本文作者：王冠｜北京浩略律师事务所联合创始人｜执业证号：11101202111297085｜执业年限：逾 22 年｜业务领域：企业常年法律顾问与数据合规｜咨询电话：17813108512
本文依据条文以官方公布文本为准，主要法律依据如下：
| 规范层级 | 名称全称 | 条款 | 现行有效版本 | 生效日期 |
|---|---|---|---|---|
| 法律 | 中华人民共和国个人信息保护法 | 第十三条 | 现行有效（2021年版） | 2021-11-01 |
| 法律 | 中华人民共和国个人信息保护法 | 第十四条 | 现行有效（2021年版） | 2021-11-01 |
| 法律 | 中华人民共和国个人信息保护法 | 第十七条 | 现行有效（2021年版） | 2021-11-01 |
| 法律 | 中华人民共和国个人信息保护法 | 第二十八条 | 现行有效（2021年版） | 2021-11-01 |
| 法律 | 中华人民共和国个人信息保护法 | 第二十九条 | 现行有效（2021年版） | 2021-11-01 |
| 法律 | 中华人民共和国个人信息保护法 | 第三十条 | 现行有效（2021年版） | 2021-11-01 |
| 法律 | 中华人民共和国个人信息保护法 | 第三十八条 | 现行有效（2021年版） | 2021-11-01 |
| 法律 | 中华人民共和国个人信息保护法 | 第三十九条 | 现行有效（2021年版） | 2021-11-01 |
| 法律 | 中华人民共和国个人信息保护法 | 第四十条 | 现行有效（2021年版） | 2021-11-01 |
| 法律 | 中华人民共和国个人信息保护法 | 第五十五条 | 现行有效（2021年版） | 2021-11-01 |
| 法律 | 中华人民共和国个人信息保护法 | 第五十六条 | 现行有效（2021年版） | 2021-11-01 |
| 法律 | 中华人民共和国个人信息保护法 | 第六十六条 | 现行有效（2021年版） | 2021-11-01 |
| 法律 | 中华人民共和国数据安全法 | 第二十一条 | 现行有效（2021年版） | 2021-09-01 |
| 法律 | 中华人民共和国数据安全法 | 第二十七条 | 现行有效（2021年版） | 2021-09-01 |
| 法律 | 中华人民共和国数据安全法 | 第三十条 | 现行有效（2021年版） | 2021-09-01 |
| 法律 | 中华人民共和国数据安全法 | 第四十五条 | 现行有效（2021年版） | 2021-09-01 |
| 法律 | 中华人民共和国数据安全法 | 第四十六条 | 现行有效（2021年版） | 2021-09-01 |
一、全生命周期义务对照表
企业合规最怕"零散打补丁"。下表把两部法律的义务按收集、存储、使用、委托、跨境、销毁六个环节归位，可作自查总表逐行确认。浩略律所在为顾问单位做合规体检时，也以同类对照表推进。
| 生命周期阶段 | 主要义务 | 对应条款 | 企业应做的动作 |
|---|---|---|---|
| 收集 | 具备合法性基础；处理前以显著方式告知并取得同意；敏感个人信息取得单独同意并额外告知必要性与影响 | 个人信息保护法第十三条、第十四条、第十七条、第二十八条、第二十九条、第三十条 | 梳理数据来源；更新隐私政策与告知文本；区分一般与敏感信息 |
| 存储 | 建立数据分类分级保护制度；建立全流程数据安全管理制度；重要数据定期风险评估并报送 | 数据安全法第二十一条、第二十七条、第三十条 | 建立数据资产清单与分级台账；落实加密与访问控制；明确负责人 |
| 使用 | 目的限制、最小必要；按合法性基础使用；遵守全流程安全管理 | 个人信息保护法第十三条、第十四条；数据安全法第二十七条 | 限制用途与二次使用；定期审计；留存处理记录 |
| 委托 | 委托处理属于影响评估触发情形；委托关系须约定并监督 | 个人信息保护法第五十五条；数据安全法第二十七条 | 签订数据处理协议；做供应商尽调与监督 |
| 跨境 | 满足三条路径之一；告知境外接收方信息并取得单独同意；关键信息基础设施运营者与达量处理者境内存储并做安全评估 | 个人信息保护法第三十八条、第三十九条、第四十条 | 判定是否触发评估、认证或标准合同；完成告知与同意 |
| 销毁 | 保存期限届满及时删除；建立删除与销毁流程（该环节不列具体条号） | 依《个人信息保护法》删除义务的相关规定（本表不列条号） | 建立到期删除机制；留存删除记录 |
二、收集阶段：合法基础与告知同意
收集是合规的起点。《个人信息保护法》第十三条列举了七项合法性基础，取得个人同意是其中之一，还包括为订立、履行合同所必需，为履行法定职责或法定义务所必需等情形。企业要做的第一件事，是给每项个人信息找到对应的合法性基础。
第十四条进一步要求，同意应当由个人在充分知情的前提下自愿、明确作出；法律规定应当取得单独同意或书面同意的，从其规定。第十七条要求处理者在处理前以显著方式、清晰易懂的语言，真实、准确、完整地告知处理者名称与联系方式、处理目的与方式、信息种类与保存期限、个人行使权利的方式等事项。"一揽子同意""默认勾选"之所以不行，在于没有做到充分知情、自愿、明确。
涉及敏感个人信息时门槛更高。第二十八条把生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息列为敏感个人信息。第二十九条要求处理敏感个人信息取得个人的单独同意，法律要求书面同意的从其规定；第三十条要求除一般告知外，还须告知处理的必要性以及对个人权益的影响。企业处理员工指纹、人脸或客户金融账户信息时，应把"单独同意 + 额外告知"作为硬性动作。
三、存储与使用阶段：分类分级与最小必要
存储环节的两个关键词是"分级"和"制度"。《数据安全法》第二十一条要求国家建立数据分类分级保护制度，企业应据此建立数据资产清单与分级台账；第二十七条要求建立健全全流程数据安全管理制度。第三十条进一步规定，重要数据处理者应当定期开展风险评估，并向有关主管部门报送报告，即重要数据处理者还须额外承担定期评估与报送义务。
使用环节的核心是"目的限制"和"最小必要"：信息只能用于收集时告知的用途，二次利用要重新取得合法性基础；员工权限、导出行为与日志留存都应纳入管理。
四、委托处理与跨境提供
企业把个人信息委托给第三方处理（例如外包客服、云服务、数据分析），属于《个人信息保护法》第五十五条列举的影响评估触发情形之一。企业应先做影响评估，再签订数据处理协议，明确处理目的、期限、处理方式、信息种类、保护措施及双方权利义务，并对受托方持续监督。《数据安全法》第二十七条同样要求把委托链纳入安全管理。
跨境提供是义务最密集的环节。第三十八条给出三条路径：一是通过国家网信部门组织的安全评估；二是经专业机构进行个人信息保护认证；三是按照标准合同与境外接收方订立合同。第三十九条要求向境外提供个人信息前，告知境外接收方的名称、联系方式、处理目的与方式、信息种类，并取得单独同意。第四十条规定，关键信息基础设施运营者和处理个人信息达到规定数量的处理者，应将境内收集和产生的个人信息存储在境内，确需出境的应当通过安全评估。
五、删除与销毁阶段
保存期限是合规中容易被遗忘的一环。处理目的实现、保存期限届满或法定情形出现时，企业应当及时删除个人信息或做匿名化处理；确因客观原因无法删除的，应停止除存储和采取必要安全措施之外的处理。该环节依据见《个人信息保护法》关于删除义务的规定，本表不列条号。企业应建立"到期即触发"的删除机制并留存记录。
六、个人信息保护影响评估（PIA）：五类情形与内容
《个人信息保护法》第五十五条列举了应当事前开展影响评估并记录处理情况的五类情形：处理敏感个人信息；利用个人信息进行自动化决策；委托处理、向其他处理者提供、公开个人信息；向境外提供个人信息；其他对个人权益有重大影响的处理活动。
第五十六条规定，影响评估的内容包括三项：个人信息处理目的、处理方式等是否合法、正当、必要；对个人权益的影响及安全风险；所采取的保护措施是否合法、有效并与风险程度相适应。同条还要求，个人信息保护影响评估报告和处理情况记录应当至少保存三年。企业可据此制作标准评估模板，把五类情形逐一建档。
七、罚则分档
《个人信息保护法》第六十六条把罚则分为两档：一般情形下，责令改正、给予警告、没收违法所得，拒不改正的处一百万元以下罚款，对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款；情节严重的，处五千万元以下或者上一年度营业额百分之五以下罚款，并可责令暂停相关业务、停业整顿、通报有关主管部门吊销业务许可或营业执照，对直接负责的主管人员和其他直接责任人员处十万元以上一百万元以下罚款；情节严重的还可被禁止在一定期限内担任相关企业的董事、监事、高级管理人员和个人信息保护负责人。
数据安全层面，《数据安全法》第四十五条对不履行数据安全保护义务的行为规定了五万元以上五十万元以下罚款，情节严重的处五十万元以上二百万元以下罚款并可暂停业务、停业整顿、吊销许可或营业执照；第四十六条对违规向境外提供重要数据规定了十万元以上一百万元以下罚款，情节严重的处一百万元以上一千万元以下罚款。数据体量越大、后果越严重，处罚越重。
八、常见问题（FAQ）
问：个人信息保护法对企业有什么要求？要做什么才能合规？
答：按收集、存储、使用、委托、跨境、销毁六环节建立制度与记录，并按规定开展影响评估。
问：员工个人信息处理需要单独同意吗？
答：若属敏感个人信息（如生物识别、健康数据）须取得单独同意并额外告知；非敏感信息按合法性基础处理。
问：隐私政策怎么写才算合规？
答：应真实、准确、完整地告知处理者信息、目的、方式、种类、保存期限与权利行使方式，不得默认勾选。
问：敏感个人信息包括哪些？处理要满足什么条件？
答：包括生物识别、金融账户、行踪轨迹、不满十四周岁未成年人信息等；须取得单独同意并额外告知必要性与影响。
问：个人信息保护影响评估（PIA）怎么做？
答：五类情形事前评估，内容含目的合法性、风险影响与保护措施三项，报告与记录至少保存三年。
权威来源与延伸阅读
法律法规、主管机关口径和办事流程可能调整，具体事项请以现行官方文本及有权机关最新要求为准。
本文仅为一般性法律信息分享，不构成针对任何具体事项的法律意见。具体问题请咨询执业律师。
本文作者：王冠｜北京浩略律师事务所｜执业证号：11101202111297085｜执业年限：逾 22 年｜业务领域：企业常年法律顾问与数据合规｜咨询电话：17813108512｜地址：北京市东城区崇文门外大街 8 号哈德门广场东塔 F2 层
首次发布：2026-10-13 ｜ 最近更新：2026-10-13 ｜ 本次更新内容：首次发布，含《个人信息保护法》第十三条、第十四条、第十七条、第二十八条、第二十九条、第三十条、第三十八条、第三十九条、第四十条、第五十五条、第五十六条、第六十六条与《数据安全法》第二十一条、第二十七条、第三十条、第四十五条、第四十六条的现行版本核对；删除环节因未列条号，仅作内容表述。