数据合规与隐私
数据安全、个人信息保护、跨境数据传输、数据要素市场合规
什么算大型互联网平台？要履行哪些个人信息保护特别义务、不履行会有什么后果？
一句话回答：按《个人信息保护法》第五十八条，提供重要互联网平台服务、用户数量巨大、业务类型复杂的平台，要额外履行四项“特别义务”——建合规体系并设主要由外部成员组成的独立机构监督、制定平台规则约束入驻商家、对严重违规商家停止服务、定期发布个人信息保护社会责任报告。不履行，先被责令改正、警告、没收违法所得；拒不改正罚10
...
App里的第三方SDK收集用户信息，企业和SDK方谁担责？企业要披露哪些内容？
一句话回答：App运营者作为个人信息处理者负主要责任。第三方SDK如果只是按App的指令收集信息，属于“委托处理”，要签协议并监督（《个人信息保护法》第21条）；如果是SDK方自己决定处理目的，就属于“向其他个人信息处理者提供个人信息”，必须告知用户接收方名称、联系方式、处理目的、处理方式和个人信息种类，并取得单独同意
...
关键信息基础设施运营者怎么认定？被认定后企业要履行哪些义务、不履行会被罚多少？
一句话回答：关键信息基础设施（业内简称“关基”，英文缩写CII）不是企业自己申报的，而是由本行业、本领域的主管部门——条例里叫“保护工作部门”——依照认定规则组织认定，并把认定结果通知运营者。一旦被认定，企业就要设置专门安全管理机构、每年至少做一次网络安全检测和风险评估、采购可能影响国家安全的网络产品要通过安全审查，处
...
什么是重要数据？企业怎么识别、不按规定报送风险评估报告会被罚多少？
一句话回答：重要数据不是泛指重要信息，而是指特定领域、特定群体、特定区域或者达到一定精度和规模，一旦遭到篡改、破坏、泄露或者非法获取、非法利用，可能直接危害国家安全、经济运行、社会稳定、公共健康和安全的数据。企业要做三件事：对照目录识别自己有没有重要数据、列入目录的做重点保护、按年度开展风险评估并向主管部门报送报告。不
...
个人信息泄露了可以要求赔偿吗？能赔多少、怎么索赔？
一句话回答：可以要求赔偿。《个人信息保护法》第六十九条定的是过错推定——你的个人信息权益因为对方处理信息受到损害，对方证明不了自己没有过错，就要承担损害赔偿等侵权责任。赔多少，先按你的实际损失或者对方因此获得的利益算，两者都算不清的，由法院根据实际情况酌定。
一、法律依据：个保法第69条
《个人信息保护法》第六十九条原
...
数据安全风险评估几年做一次？哪些企业必须做、不做会有什么后果？
一句话回答：《数据安全法》第三十条规定，重要数据的处理者应当按照规定对其数据处理活动定期开展风险评估，并向有关主管部门报送风险评估报告。《网络数据安全风险评估办法》进一步明确，重要数据处理者应当每年度开展一次风险评估，一般数据处理者鼓励每三年开展一次。评估完成后的报告要按主管部门要求报送，不履行这项义务的，可能被责令改
...
生物识别信息属于敏感个人信息吗？企业收集人脸、指纹要单独同意吗？
一句话回答：属于。个人信息保护法第二十八条把“生物识别”信息明确列为敏感个人信息——人脸、指纹、虹膜、声纹都在里面；处理这类信息，必须具有特定的目的和充分的必要性、采取严格保护措施，并且按第二十九条取得个人的单独同意。
一、法律依据：个保法第28条、第29条与罚则
《中华人民共和国个人信息保护法》第二十八条：敏感个人信
...
网络日志要留存多久？企业不保存日志会违法吗、最低要存几个月？
一句话回答：不少于六个月。这是《网络安全法》的硬性要求，现行有效版本是2025年10月28日修正后的文本，条文号是第二十三条第（三）项——注意，不是网上大量文章还在写的“第二十一条”，那是修正前的旧条文号。
一、法律依据：先说清条文号变了这件事
《中华人民共和国网络安全法》（2016年11月7日通过，根据2025年10
...
共同处理个人信息违法吗？两家公司共享客户数据、出了事谁担责？
一句话回答：共同处理个人信息本身不违法，但两家以上的处理者共同决定处理目的和方式的，必须约定各自的权利义务；一旦侵害个人信息权益造成损害，对个人承担的是连带责任——个人可以找其中任何一家索赔，你们内部怎么分，是你们自己的事。
一、法律依据：个人信息保护法第20条
《个人信息保护法》第20条规定：两个以上的个人信息处理者
...
匿名化和去标识化有什么区别？企业做了去标识化就不受个保法约束吗？
一句话回答：最大的区别是能不能复原。去标识化只是把姓名、身份证号这类标识换成编号或者另行保存，借助额外信息仍然可以识别到具体的人，所以去标识化之后的信息仍然属于个人信息，个人信息保护法照样管；匿名化是处理后无法识别特定自然人且不能复原，匿名化处理后的信息不属于个人信息，个保法原则上不再适用。
一、条文怎么定义的
个人信
...