数据合规与隐私
数据安全、个人信息保护、跨境数据传输、数据要素市场合规
数据出境负面清单是什么？哪些数据要管、企业怎么对照清单判断能不能出境？
一句话回答：数据出境负面清单是各自贸试验区在国家授权下制定的“重点领域数据清单”，纳入清单的数据出境要按规定走安全评估等程序，清单之外的数据出境一般可以免于申报，企业先对照清单判断，再决定是否要办手续。
一、负面清单是什么、谁定的？
2024年3月22日，国家网信办发布《促进和规范数据跨境流动规定》，其中明确授权自由贸
...
数据知识产权登记是什么？企业登记数据知识产权有什么用、怎么办理？
一句话回答：数据知识产权登记，说白了就是给企业手里那些有商业价值的数据“上户口”——通过官方登记平台，把数据的权属、内容、来源固定下来，拿到一张登记证书。它不是法定的权利证书，但在质押融资、对外交易、维权举证和数据资产管理里，是一份很有分量的凭证。目前这项制度仍在试点地区推行，具体规则要以登记地官方最新规定为准。
一、
...
数据标注合法吗？企业做AI数据标注要遵守哪些合规要求、违法会有什么后果？
一句话回答：数据标注这个行业本身合法，企业也完全可以做；但如果标注的对象是个人信息，尤其是人脸、指纹、行踪轨迹这类敏感个人信息，就必须符合《个人信息保护法》的要求——该取得同意的要取得同意，该签委托协议的要签协议，该做影响评估的要评估，否则从一百万元以下罚款到五千万元或者上一年度营业额百分之五以下的罚款都可能落在头上。
...
死者个人信息怎么处理？近亲属能查询、复制、删除逝者的个人信息吗？
一句话回答：自然人死亡后，他的近亲属为了自身的合法、正当利益，可以查阅、复制、更正、删除死者的相关个人信息，但死者生前另有安排的除外——这是《个人信息保护法》第四十九条专门规定的。企业收到这类请求，不能一概拒绝，也不能随便给，得先核实身份和所谓的合法、正当利益。
一、法律依据：个保法第49条
《个人信息保护法》第四十九
...
行踪轨迹信息属于敏感个人信息吗？企业收集员工定位、客户位置信息要遵守哪些规则？
一句话回答：属于。《个人信息保护法》第28条明确把"行踪轨迹"列入敏感个人信息；企业处理这类信息，必须取得个人的"单独同意"，还要额外告知处理必要性、事前做个人信息保护影响评估，违规情节严重的最高可罚5000万元或者上一年度营业额的5%。
一、法律依据：行踪轨迹为什么是敏感个人信息
《个人信息保护法》第28条规定：敏感
...
个人信息保存期限是多久？企业超期保存、到期不删会有什么后果？
一句话回答：除法律、行政法规另有规定外，个人信息的保存期限应当为实现处理目的所必要的最短时间；处理目的已实现、无法实现或者不再必要，或者保存期限已届满的，企业应当主动删除，未删除的个人有权请求删除。所以保存期限没有统一的固定年限，核心是“目的需要多久就存多久”。
一、法律依据：保存多久、什么时候必须删
《个人信息保护法
...
处理已公开的个人信息还需要同意吗？企业用公开数据会不会违法？
一句话回答：一般不需要再单独取得同意。根据《个人信息保护法》第二十七条，个人信息处理者可以在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息；但个人明确拒绝的，应当停止处理；处理已公开信息对个人权益有重大影响的，仍要依照法律规定取得个人同意。一句话，公开信息能用，但不是随便用。
一、法律依据：哪一条说了“已公
...
个人信息保护认证是什么？企业做PIP认证有什么用、怎么办理？
一句话回答：个人信息保护认证（业内常叫 PIP 认证）是一套自愿性的第三方认证制度，2022年11月由国家市场监督管理总局和国家互联网信息办公室联合建立，企业通过专业认证机构审核后取得证书，用来证明自己在收集、存储、使用、加工、跨境提供个人信息等环节达到了国家标准的要求。
一、个人信息保护认证是什么
它属于“认证认可”
...
用户撤回个人信息同意，企业必须删除数据吗？不处理会有什么后果？
一句话回答：用户撤回同意后，企业首先要提供便捷的撤回方式，其次要分情况处理数据——根据《个人信息保护法》第四十七条，个人撤回同意是应当主动删除个人信息的法定情形之一，企业未删除的，个人有权请求删除；同时，个人撤回同意不影响撤回前基于同意已进行的处理活动的效力。
一、法律依据：撤回同意是个人权利，企业有配合义务
《中华人
...
个人信息出境认证是什么？和标准合同、安全评估有什么区别、怎么办理？
一句话回答：从2026年1月1日起，企业向境外提供个人信息，除了“安全评估”“标准合同”，还可以走“个人信息保护认证”这条路——由专业机构对企业的个人信息保护能力做合格评定，通过认证即视为具备法定的出境条件之一。
一、法律依据：个人信息出境的“三条路”
《个人信息保护法》第三十八条规定，个人信息处理者因业务等需要，确需
...