月度归档： 2026 年 9 月
个人信息泄露了可以要求赔偿吗？能赔多少、怎么索赔？
一句话回答：可以要求赔偿。《个人信息保护法》第六十九条定的是过错推定——你的个人信息权益因为对方处理信息受到损害，对方证明不了自己没有过错，就要承担损害赔偿等侵权责任。赔多少，先按你的实际损失或者对方因此获得的利益算，两者都算不清的，由法院根据实际情况酌定。
一、法律依据：个保法第69条
《个人信息保护法》第六十九条原
...
数据安全风险评估几年做一次？哪些企业必须做、不做会有什么后果？
一句话回答：《数据安全法》第三十条规定，重要数据的处理者应当按照规定对其数据处理活动定期开展风险评估，并向有关主管部门报送风险评估报告。《网络数据安全风险评估办法》进一步明确，重要数据处理者应当每年度开展一次风险评估，一般数据处理者鼓励每三年开展一次。评估完成后的报告要按主管部门要求报送，不履行这项义务的，可能被责令改
...
生物识别信息属于敏感个人信息吗？企业收集人脸、指纹要单独同意吗？
一句话回答：属于。个人信息保护法第二十八条把“生物识别”信息明确列为敏感个人信息——人脸、指纹、虹膜、声纹都在里面；处理这类信息，必须具有特定的目的和充分的必要性、采取严格保护措施，并且按第二十九条取得个人的单独同意。
一、法律依据：个保法第28条、第29条与罚则
《中华人民共和国个人信息保护法》第二十八条：敏感个人信
...
网络日志要留存多久？企业不保存日志会违法吗、最低要存几个月？
一句话回答：不少于六个月。这是《网络安全法》的硬性要求，现行有效版本是2025年10月28日修正后的文本，条文号是第二十三条第（三）项——注意，不是网上大量文章还在写的“第二十一条”，那是修正前的旧条文号。
一、法律依据：先说清条文号变了这件事
《中华人民共和国网络安全法》（2016年11月7日通过，根据2025年10
...
共同处理个人信息违法吗？两家公司共享客户数据、出了事谁担责？
一句话回答：共同处理个人信息本身不违法，但两家以上的处理者共同决定处理目的和方式的，必须约定各自的权利义务；一旦侵害个人信息权益造成损害，对个人承担的是连带责任——个人可以找其中任何一家索赔，你们内部怎么分，是你们自己的事。
一、法律依据：个人信息保护法第20条
《个人信息保护法》第20条规定：两个以上的个人信息处理者
...
匿名化和去标识化有什么区别？企业做了去标识化就不受个保法约束吗？
一句话回答：最大的区别是能不能复原。去标识化只是把姓名、身份证号这类标识换成编号或者另行保存，借助额外信息仍然可以识别到具体的人，所以去标识化之后的信息仍然属于个人信息，个人信息保护法照样管；匿名化是处理后无法识别特定自然人且不能复原，匿名化处理后的信息不属于个人信息，个保法原则上不再适用。
一、条文怎么定义的
个人信
...
自动化决策是什么？企业用算法自动推送、自动定价会违法吗？
一句话回答：自动化决策，说白了就是让算法代替人来“拍板”——自动给客户推内容、自动定价格、自动决定给不给授信。这类做法本身合法，但《个人信息保护法》第24条划了三条红线：决策要透明、结果要公平公正，不得对个人在交易价格等交易条件上实行不合理的差别待遇；用自动化决策做信息推送和商业营销，必须同时提供不针对个人特征的选项或
...
个人信息告知同意规则是什么？企业收集客户信息没告知会被罚多少？
一句话回答：处理个人信息之前，必须先告诉对方你是谁、拿信息干什么、怎么处理、保存多久、他有什么权利。这套先说清楚、再取得同意的规则，就是《个人信息保护法》里的告知同意规则。没告知就收集，或者用默认勾选的方式制造假同意，都属于违法处理个人信息，轻则责令改正、警告、没收违法所得，情节严重的最高可罚五千万元或者上一年度营业额
...
个人信息委托处理要签什么协议？把客户信息交给外包公司、SaaS服务商算违规吗？
一句话回答：把客户信息交给外包客服、云服务商、SaaS服务商处理，本身不违法，但必须按《个人信息保护法》第二十一条与受托人签订委托处理协议，约定处理目的、期限、方式、信息种类、保护措施和双方的权利义务，并对受托人的处理活动进行监督；委托处理个人信息属于应当事前开展个人信息保护影响评估的法定情形，评估报告和处理情况记录要
...
数据安全事件应急预案包括哪些内容？发生数据泄露要多久上报监管部门？
一句话回答：数据安全事件应急预案的核心是六件事——谁负责、发现后怎么处置、多长时间内上报、怎么通知用户、要留哪些记录、多久演练一次。法律给企业的底线动作是：发现风险立即补救，发生事件立即处置，并按规定及时告知用户、报告主管部门。
一、法律依据：个人信息保护法第五十七条
《个人信息保护法》第五十七条规定：发生或者可能发生
...