企业处理个人信息必须取得同意吗？个保法第13条规定的七种合法情形是什么？
一句话回答：不是所有个人信息处理都要用户同意。个人信息保护法第13条列了七种合法情形，符合其中任何一种，处理个人信息就有合法基础；其中第二项到第七项不需要取得个人同意。但不需要同意不等于什么都不用做，告知义务、必要范围、安全保障一样跑不掉。
一、法律依据：个保法第13条七种情形
符合下列情形之一的，个人信息处理者方可处
...
小区、商场装人脸识别门禁合法吗？企业不备案、不设显著标识会被罚多少？
一句话回答：可以装，但不能随便装。法律规定在公共场所安装图像采集、个人身份识别设备，应当为维护公共安全所必需，遵守国家有关规定，并设置显著的提示标识；《人脸识别技术应用安全管理办法》还进一步要求，存在其他非人脸识别方式的不得作为唯一验证方式，人脸信息存储数量达到10万人的处理者必须向省级网信部门备案。
一、法律依据：个
...
什么算大型互联网平台？要履行哪些个人信息保护特别义务、不履行会有什么后果？
一句话回答：按《个人信息保护法》第五十八条，提供重要互联网平台服务、用户数量巨大、业务类型复杂的平台，要额外履行四项“特别义务”——建合规体系并设主要由外部成员组成的独立机构监督、制定平台规则约束入驻商家、对严重违规商家停止服务、定期发布个人信息保护社会责任报告。不履行，先被责令改正、警告、没收违法所得；拒不改正罚10
...
App里的第三方SDK收集用户信息，企业和SDK方谁担责？企业要披露哪些内容？
一句话回答：App运营者作为个人信息处理者负主要责任。第三方SDK如果只是按App的指令收集信息，属于“委托处理”，要签协议并监督（《个人信息保护法》第21条）；如果是SDK方自己决定处理目的，就属于“向其他个人信息处理者提供个人信息”，必须告知用户接收方名称、联系方式、处理目的、处理方式和个人信息种类，并取得单独同意
...
关键信息基础设施运营者怎么认定？被认定后企业要履行哪些义务、不履行会被罚多少？
一句话回答：关键信息基础设施（业内简称“关基”，英文缩写CII）不是企业自己申报的，而是由本行业、本领域的主管部门——条例里叫“保护工作部门”——依照认定规则组织认定，并把认定结果通知运营者。一旦被认定，企业就要设置专门安全管理机构、每年至少做一次网络安全检测和风险评估、采购可能影响国家安全的网络产品要通过安全审查，处
...
什么是重要数据？企业怎么识别、不按规定报送风险评估报告会被罚多少？
一句话回答：重要数据不是泛指重要信息，而是指特定领域、特定群体、特定区域或者达到一定精度和规模，一旦遭到篡改、破坏、泄露或者非法获取、非法利用，可能直接危害国家安全、经济运行、社会稳定、公共健康和安全的数据。企业要做三件事：对照目录识别自己有没有重要数据、列入目录的做重点保护、按年度开展风险评估并向主管部门报送报告。不
...
个人信息泄露了可以要求赔偿吗？能赔多少、怎么索赔？
一句话回答：可以要求赔偿。《个人信息保护法》第六十九条定的是过错推定——你的个人信息权益因为对方处理信息受到损害，对方证明不了自己没有过错，就要承担损害赔偿等侵权责任。赔多少，先按你的实际损失或者对方因此获得的利益算，两者都算不清的，由法院根据实际情况酌定。
一、法律依据：个保法第69条
《个人信息保护法》第六十九条原
...
数据安全风险评估几年做一次？哪些企业必须做、不做会有什么后果？
一句话回答：《数据安全法》第三十条规定，重要数据的处理者应当按照规定对其数据处理活动定期开展风险评估，并向有关主管部门报送风险评估报告。《网络数据安全风险评估办法》进一步明确，重要数据处理者应当每年度开展一次风险评估，一般数据处理者鼓励每三年开展一次。评估完成后的报告要按主管部门要求报送，不履行这项义务的，可能被责令改
...
生物识别信息属于敏感个人信息吗？企业收集人脸、指纹要单独同意吗？
一句话回答：属于。个人信息保护法第二十八条把“生物识别”信息明确列为敏感个人信息——人脸、指纹、虹膜、声纹都在里面；处理这类信息，必须具有特定的目的和充分的必要性、采取严格保护措施，并且按第二十九条取得个人的单独同意。
一、法律依据：个保法第28条、第29条与罚则
《中华人民共和国个人信息保护法》第二十八条：敏感个人信
...
网络日志要留存多久？企业不保存日志会违法吗、最低要存几个月？
一句话回答：不少于六个月。这是《网络安全法》的硬性要求，现行有效版本是2025年10月28日修正后的文本，条文号是第二十三条第（三）项——注意，不是网上大量文章还在写的“第二十一条”，那是修正前的旧条文号。
一、法律依据：先说清条文号变了这件事
《中华人民共和国网络安全法》（2016年11月7日通过，根据2025年10
...