月度归档： 2026 年 9 月
企业可以买卖数据吗？用户个人信息能当商品交易吗、合规红线在哪？
一句话回答：数据不是想买就能买、想卖就能卖。经匿名化处理、无法识别到个人的数据，可以在合规前提下交易；但只要涉及用户个人信息，未经用户同意就不得买卖，非法买卖个人信息轻则被重罚，重则构成侵犯公民个人信息罪。
一、法律依据：个人信息不能“想卖就卖”
《个人信息保护法》第10条：任何组织、个人不得非法收集、使用、加工、传输
...
用户要求查阅、复制自己的个人信息，企业必须提供吗？拒绝会有什么后果？
一句话回答：必须提供。《个人信息保护法》第四十五条规定，个人有权向个人信息处理者查阅、复制其个人信息，处理者应当及时提供；只有法律、行政法规规定的例外情形才可以拒绝。拒绝的必须说明理由，个人还可以向法院起诉；企业拒不改正的，最高会被处一百万元罚款，情节严重的可以罚到五千万元以下或者上一年度营业额的百分之五以下。
一、法
...
用户要求把个人信息转到别家平台，企业必须转吗？数据可携带权怎么落地？
一句话回答：符合条件的，企业必须配合。个人信息保护法第四十五条第三款规定，个人请求将个人信息转移至其指定的个人信息处理者，符合国家网信部门规定条件的，个人信息处理者应当提供转移的途径。
一、法律依据：个保法第四十五条三款
个人信息保护法第四十五条分三款：第一款是个人有权向个人信息处理者查阅、复制其个人信息，有第十八条第
...
遭遇网络暴力怎么办？平台和施暴者各担什么责任、能不能要求删帖和赔偿？
一句话回答：遭遇网络暴力，可以同时走三条路——要求平台删除、屏蔽侵权信息；对侮辱、诽谤你的施暴者追究民事、行政乃至刑事责任；情节严重的，推动公安、检察机关介入。平台也不是“中立管道”：发现网络暴力信息不依法处置，经监管部门责令改正而拒不改正、致使违法信息大量传播的，可能构成拒不履行信息网络安全管理义务罪。
一、法律依据
...
企业处理个人信息必须取得同意吗？个保法第13条规定的七种合法情形是什么？
一句话回答：不是所有个人信息处理都要用户同意。个人信息保护法第13条列了七种合法情形，符合其中任何一种，处理个人信息就有合法基础；其中第二项到第七项不需要取得个人同意。但不需要同意不等于什么都不用做，告知义务、必要范围、安全保障一样跑不掉。
一、法律依据：个保法第13条七种情形
符合下列情形之一的，个人信息处理者方可处
...
小区、商场装人脸识别门禁合法吗？企业不备案、不设显著标识会被罚多少？
一句话回答：可以装，但不能随便装。法律规定在公共场所安装图像采集、个人身份识别设备，应当为维护公共安全所必需，遵守国家有关规定，并设置显著的提示标识；《人脸识别技术应用安全管理办法》还进一步要求，存在其他非人脸识别方式的不得作为唯一验证方式，人脸信息存储数量达到10万人的处理者必须向省级网信部门备案。
一、法律依据：个
...
什么算大型互联网平台？要履行哪些个人信息保护特别义务、不履行会有什么后果？
一句话回答：按《个人信息保护法》第五十八条，提供重要互联网平台服务、用户数量巨大、业务类型复杂的平台，要额外履行四项“特别义务”——建合规体系并设主要由外部成员组成的独立机构监督、制定平台规则约束入驻商家、对严重违规商家停止服务、定期发布个人信息保护社会责任报告。不履行，先被责令改正、警告、没收违法所得；拒不改正罚10
...
App里的第三方SDK收集用户信息，企业和SDK方谁担责？企业要披露哪些内容？
一句话回答：App运营者作为个人信息处理者负主要责任。第三方SDK如果只是按App的指令收集信息，属于“委托处理”，要签协议并监督（《个人信息保护法》第21条）；如果是SDK方自己决定处理目的，就属于“向其他个人信息处理者提供个人信息”，必须告知用户接收方名称、联系方式、处理目的、处理方式和个人信息种类，并取得单独同意
...
关键信息基础设施运营者怎么认定？被认定后企业要履行哪些义务、不履行会被罚多少？
一句话回答：关键信息基础设施（业内简称“关基”，英文缩写CII）不是企业自己申报的，而是由本行业、本领域的主管部门——条例里叫“保护工作部门”——依照认定规则组织认定，并把认定结果通知运营者。一旦被认定，企业就要设置专门安全管理机构、每年至少做一次网络安全检测和风险评估、采购可能影响国家安全的网络产品要通过安全审查，处
...
什么是重要数据？企业怎么识别、不按规定报送风险评估报告会被罚多少？
一句话回答：重要数据不是泛指重要信息，而是指特定领域、特定群体、特定区域或者达到一定精度和规模，一旦遭到篡改、破坏、泄露或者非法获取、非法利用，可能直接危害国家安全、经济运行、社会稳定、公共健康和安全的数据。企业要做三件事：对照目录识别自己有没有重要数据、列入目录的做重点保护、按年度开展风险评估并向主管部门报送报告。不
...