七十四条八千四百三十八字：总则条均六十五点三三全书最低，四笔罚款全写在一篇里

七十四条，八千四百三十八个条文汉字，八章，条均一百一十四点零三。

⁠​‌​‌​​‌​‌‌‌​‌​‌​​​​​​​‌‌‌​​‌​‌‌​‌‌​​​‌‌​‌​‌​‌‌​​⁠

这是《中华人民共和国个人信息保护法》的现行文本。二〇二一年八月二十日第十三届全国人民代表大会常务委员会第三十次会议通过，二〇二一年十一月一日施行。从通过到施行只隔了七十天，是那一届全国人大常委会通过的几部大法里间隔最短的之一。

这一篇不算全法逐条，只算三段：第一章总则（第一条到第十二条）、第七章法律责任（第六十六条到第七十一条）、第八章附则（第七十二条到第七十四条），一共二十一条，一千八百二十七个条文汉字。剩下的五十三条分在四篇子篇里：一般处理规则、敏感信息与国家机关、跨境与个人权利、处理者义务与监管部门。

先把这三段的骨架摆出来，全书的结构感才立得住。

一、先摆数：二十一条，一千八百二十七字

三段里，法律责任那六条的条均是一百二十六点三三，看着不低。但这六条里有一条占了三百四十二字，剩下五条加起来才四百一十六字，条均八十三点二。也就是说，整部法的罚则，实际上是被一条撑起来的。

还有一处更值得注意：这二十一条里，「同意」一次都没有出现。全法「同意」共出现二十七次，其中二十二次集中在下一篇子篇（第十三条到第二十七条的一般处理规则）里。同意这件事，整部法只在一节里讲；总则不管它，罚则也不管它。

二、八章的字数分布：第二章占了三成，法律责任不到一成

这张表值得多看两眼。

条均最高的是第六章，一百七十九点一七；最低的是第一章，六十五点三三。差二点七四倍。第六章管的是监管部门自己的职责，写得最细；第一章管的是整部法的原则，写得最粗。

字数最多的是第二章，二十五条、二千六百七十七字，占三成一七。这一章底下还分三节：一般规定十五条一千九百七十一字、敏感个人信息五条四百二十二字、国家机关五条二百八十四字。三节之间的落差，比章与章之间的落差还大。

法律责任只占百分之八点九八，比第五章的义务（百分之十五点七九）、第六章的部门职责（百分之十二点七四）都少。一部法罚则占不到一成，这个比例在行政处罚类立法里算偏低的。它说明这部法的重心不在罚，在「要求你做什么」和「谁能管你」上。

三、总则十二条：条均六十五点三三，是八章里最低的

总则十二条，七百八十四字。逐条字数是这样分布的：

十二条里最短的是第二条，三十六字；最长的是第三条，一百三十二字。总则里没有一条超过一百四十字，也没有一条低于三十六字。

四、第三条：三种情形，把境外的处理者也拉进来

第三条是总则里最长的一条，一百三十二字，分两款。

第一款是一句总纲：在中华人民共和国境内处理自然人个人信息的活动，适用本法。注意它管的是「处理活动」发生在境内，不是「处理者」在境内。一家外国公司在中国境内收集信息，一样适用。

第二款是域外适用，列了三种情形：

• 以向境内自然人提供产品或者服务为目的；
• 分析、评估境内自然人的行为；
• 法律、行政法规规定的其他情形。

三种情形里，第一种是「卖东西给中国人」，第二种是「盯着中国人看」，第三种是兜底。

这一款的意义在于：不管你的公司在哪、服务器在哪，只要你的目的指向境内自然人，这部法就跟过去。第五十三条还配了一条落地要求：这类境外处理者应当在境内设立专门机构或者指定代表，并把机构名称、代表姓名、联系方式报送履行个人信息保护职责的部门。有管辖，还要有人接得住。

五、第四条：什么算个人信息，什么不算

第四条两款，九十字。

第一款给定义：以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息。三个要件——有记录方式、与自然人有关、已识别或者可识别。

「已识别」是已经知道这是谁；「可识别」是通过其他信息能推出来这是谁。后一个词把范围拉得很宽：单看一条「设备号加浏览记录」可能不认识是谁，配上账号就能认出来，这就叫可识别。

第二款列处理的外延：收集、存储、使用、加工、传输、提供、公开、删除。八个动作，从进来到出去，全在「处理」两个字里面。这也意味着，只要你在任何一个环节碰了它，你就是「处理者」。

第一款还有一个尾巴，是整部法里最值钱的一句：不包括匿名化处理后的信息。匿名化和去标识化的区别，第七十三条给了定义，本篇第十四节再拆开讲。

六、第五条到第九条：五个「应当」撑起处理原则

第五条到第九条这五条，是全法处理原则的骨架。五条合计二百五十七字，条均五十一点四。五条里出现了五个「应当」：应当遵循合法正当必要诚信、应当具有明确合理目的、应当遵循公开透明、应当保证质量、应当对处理活动负责。这五个「应当」的主语都是「处理个人信息」这个行为，不是某个具体的人。

这一条四十六字，把四个原则和一类禁止塞在了一起。四个原则是合法、正当、必要、诚信；一类禁止是误导、欺诈、胁迫。「诚信」两个字放在原则里，是这部法的一个特点——它把民法里的诚信原则直接搬到了数据处理场景。

七、第十条：全书唯一一处三连「不得」

第十条是总则里唯一一条全是禁止性表述的：

三段禁止，指向三种行为：

• 第一段「不得非法收集、使用、加工、传输」——管的是手段的非法性；
• 第二段「不得非法买卖、提供或者公开」——管的是流转的非法性；
• 第三段「不得从事危害国家安全、公共利益的个人信息处理活动」——管的是目的的危险性。

注意三段都带了「非法」或者「危害」这样的限定词。这意味着这一条禁的不是「收集」「买卖」这些动作本身，而是「非法」的收集、「非法」的买卖。合法的收集、合法的提供，这一条不管。

全法的「禁止」只出现四次，分布在第四十二条（限制或者禁止提供清单）、第四十三条（对等采取禁止措施）、第六十六条（禁止担任董事、监事、高级管理人员）。第十条用的是「不得」不是「禁止」，第十条这一处三连否定，是总则里语气最重的地方。

八、第十一条和第十二条：两条「国家」，一条对内一条对外

第十一条讲对内：建立制度、预防惩治、宣传教育、推动多方参与。四个动作，八十个字，一个「应当」都没有——它是在描述国家要做什么，不是在设定国家的义务。

第十二条讲对外：参与国际规则制定、促进国际交流合作、推动规则标准互认。七十字，同样没有一个「应当」。

全法以「国家」开头的条文一共九条：第十一条、第十二条、第三十三条、第三十四条、第三十五条、第三十六条、第六十条、第六十二条、第六十八条。九条里总则占两条，第三节（国家机关）占四条，第六章（部门）占三条。这个分布很说明问题：一讲到「国家」，条文就集中到「谁来管」上，而不是「国家自己受什么约束」上。

九、法律责任六条七百五十八字：四笔罚款全在第六十六条

六条里，第六十六条一条就占了三百四十二字，是剩下五条合计（四百一十六字）的八成二。

全法的「罚款」只出现四次，四次全部在第六十六条这一条里面。其余五条罚则里一个「罚款」都没有：第六十七条是信用档案，第六十八条是处分，第六十九条是赔偿，第七十条是诉讼，第七十一条是转致。

「赔偿」出现三次，全部在第六十九条。「责令」出现五次，其中第六十六条两次、第六十八条一次、第六十四条一次、第六十六条第二款「责令暂停相关业务」一次。「吊销」两次，都在第六十六条第二款。「没收」两次，都在第六十六条。「处分」两次，都在第六十八条。

十、第六十六条：三百四十二字，全书最长的一条

这一条分两款，两款的结构完全不同。

第一款是「一般违法」的处理阶梯，一共五档：

1. 责令改正；
2. 警告；
3. 没收违法所得；
4. 对违法处理个人信息的应用程序，责令暂停或者终止提供服务；
5. 拒不改正的，并处一百万元以下罚款；对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款。

注意第四档的对象是「应用程序」，不是「处理者」。这是一个很具体的设计：App 违法，先停 App，不是先停公司。

第二款是「情节严重」的处理，门槛抬到了省级以上部门：

• 责令改正、没收违法所得；
• 并处五千万元以下或者上一年度营业额百分之五以下罚款；
• 并可以责令暂停相关业务或者停业整顿、通报有关主管部门吊销相关业务许可或者吊销营业执照；
• 对直接负责的主管人员和其他直接责任人员处十万元以上一百万元以下罚款；
• 并可以决定禁止其在一定期限内担任相关企业的董事、监事、高级管理人员和个人信息保护负责人。

这里有两个数字特别值得记住：五千万元，和上一年度营业额百分之五。两者是「或者」关系，取其一，不是相加。对一家年营业额一千亿的企业来说，百分之五是五十亿，远高于五千万；对一家年营业额一亿的企业来说，百分之五是五百万，低于五千万。所以这个「或者」的设计，是让小企业顶格五千万、大企业按比例走。

还有一处容易被忽略：「禁止其在一定期限内担任相关企业的董事、监事、高级管理人员和个人信息保护负责人」，这是全法唯一一处针对个人的资格罚。全法「禁止」出现四次，只有这一处是对人说的。

十一、第六十九条：过错推定，全法对个人最有利的一条

这一条只有两款、一百三十六字，但它是整部法里对个人最有利的一条。

第一款的关键在举证责任：「个人信息处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任」。这是过错推定，不是谁主张谁举证。你只要证明自己受了损害、损害与处理行为有关，剩下的「我没有过错」要由处理者自己证明。

第二款讲赔偿数额怎么算，顺序是：

1. 按个人因此受到的损失；
2. 损失难以确定的，按处理者因此获得的利益；
3. 两者都难以确定的，根据实际情况确定。

这个顺序很重要：先看你的损失，再看他的获利，最后才是法院酌定。很多个人信息案件卡在第一步——你的损失很难量化，一条手机号值多少钱？所以实践里大量案件落到第三步，由法院酌定。这也解释了为什么这部法实施以来，个人起诉获赔的金额普遍不高。

第七十条是公益诉讼条款，七十四字，三类主体：人民检察院、法律规定的消费者组织、由国家网信部门确定的组织。

三类主体里没有「个人」。这是一个明确的设计取舍：个人可以按第六十九条单独起诉索赔，但「侵害众多个人的权益」这种情形，起诉资格给了三个特定主体。理由不难理解——众多个人的小额损害，单个起诉成本高于收益，需要有人代表。

但这条也留了一个口子：「由国家网信部门确定的组织」。哪些组织算，由网信部门确定，不是一个封闭名单。

十二、第六十八条：国家机关违法，罚的是「处分」不是钱

这一条两款，一款管国家机关，一款管部门工作人员。

国家机关不履行个人信息保护义务的，处理方式是：由上级机关或者履行个人信息保护职责的部门责令改正；对直接负责的主管人员和其他直接责任人员依法给予处分。

没有罚款。对比第六十六条对企业的处理，这个差别是结构性的：企业违法罚钱，机关违法给处分。处分是内部人事处理，不是财产处罚。

第二款管的是监管部门自己的工作人员：玩忽职守、滥用职权、徇私舞弊，尚不构成犯罪的，依法给予处分。这一款是全法唯一一处直接约束监管者的条款，只有三十来字。

十三、第七十一条：四十五个字，把整部法接回治安管理和刑法

四十五字，一个转致条款：构成违反治安管理行为的，给予治安管理处罚；构成犯罪的，追究刑事责任。

它本身不设罚则，但它把这部法和《治安管理处罚法》《刑法》接了起来。刑法那边的对应罪名是侵犯公民个人信息罪，第二百五十三条之一。两部法之间的桥，就是这四十五个字。

十四、附则三条二百八十五字：第七十二条把「家务事」排除了

第一款是第一句：「自然人因个人或者家庭事务处理个人信息的，不适用本法。」

这是全法唯一的适用除外条款。你在家里装个摄像头拍自家院子，在家庭群里发亲戚的照片，用通讯录记朋友的电话——这些都不受这部法管。判断标准是「个人或者家庭事务」，不是「是不是自然人」。

但这条边界并不宽。一旦超出「个人或者家庭事务」，「不适用」就不成立了。比如你把家庭群里收集到的信息拿去开公司、做微商、发广告，那就不是家庭事务了。再比如你在小区业主群里公布邻居的信息，是不是家庭事务？实务里要看你处理的目的和范围，不能一概而论。

第二款是另一个除外：各级人民政府及其有关部门组织实施的统计、档案管理活动，法律另有规定的，适用其规定。这一款把政府统计和档案管理单拎出来，是为了跟《统计法》《档案法》衔接。

第七十三条给了四个定义，一百九十四字，是附则里最长的一条：

• 个人信息处理者：在个人信息处理活动中自主决定处理目的、处理方式的组织、个人。
• 自动化决策：通过计算机程序自动分析、评估个人的行为习惯、兴趣爱好或者经济、健康、信用状况等，并进行决策的活动。
• 去标识化：个人信息经过处理，使其在不借助额外信息的情况下无法识别特定自然人的过程。
• 匿名化：个人信息经过处理无法识别特定自然人且不能复原的过程。

去标识化和匿名化的区别，全在这两个词上：「不借助额外信息」和「不能复原」。

去标识化之后，如果手里还有那把「额外的钥匙」，仍然可以重新识别——所以去标识化后的信息，还是个人信息，还在本法管辖范围内。匿名化之后无法识别且不能复原——所以第四条明确说，个人信息「不包括匿名化处理后的信息」，匿名化的数据直接出了这部法的门。

这个区别在实务里价值很大：很多企业说自己「已经脱敏」，但做的只是去标识化。只有真正做到不可复原，才能主张不是个人信息。

第七十四条十七个字，全书最短的一条：本法自二〇二一年十一月一日起施行。没有过渡期条款，没有「本条例施行前」的衔接安排。

十五、和网络安全法、数据安全法比：三部法各管一段

这三部法经常被一起提，但分工很清楚：

一个粗略的记法：网络安全法管「网」，数据安全法管「数据」，个人信息保护法管「人」。

三部法的衔接点不少。比如关键信息基础设施运营者，网络安全法里有专门一章，个人信息保护法第四十条又单独规定这类主体「应当将在境内收集和产生的个人信息存储在境内」。比如数据出境，数据安全法管「重要数据」，个人信息保护法管「个人信息」，两条线并行。

也正因为三部法并行，实务里判断一件事合不合规，往往要三本一起翻。只翻一本就下结论，是最常见的误判来源。

十六、算例：一条手机号被卖了三次，能找谁

假设这样一件事。

小李在一家网店买了一次东西，留了手机号。半年后他开始接到装修公司的推销电话。他去问网店，网店说「我们没有卖，可能是快递泄露的」。他去问快递，快递说「我们只负责送」。

第一步，看谁能当被告。按第六十九条，小李要证明的是：自己受了损害、损害与处理行为有关。「我的号码被卖」这件事，本身要先证明。证明的办法通常不是去查谁卖的，而是看号码的流向——如果三家装修公司都能准确说出他买过什么，那泄露源大概率在订单环节。

第二步，看举证责任。第六十九条把「我没有过错」的举证责任给了处理者。小李只要把网店和快递都告上，两家都要自己证明自己没漏。这一步是这部法给小李的最大便利。

第三步，看赔偿怎么算。按第六十九条第二款，先看损失、再看获利、最后酌定。一条手机号的损失很难算，获利也查不到，最后多半落到酌定。所以个人起诉的实际收益，往往低于维权成本。

第四步，看有没有别的路。按第六十五条，任何组织、个人有权向履行个人信息保护职责的部门投诉、举报；按第七十条，如果侵害的是「众多个人」的权益，检察院、消费者组织、网信部门确定的组织可以提公益诉讼。这两条路不收费，也不要求你证明损失。

所以这类事情的现实解法，往往不是打官司，而是先投诉、再谈、最后才是起诉。

十七、第七十二条那条边界，实践里最容易踩

第七十二条把「个人或者家庭事务」排除在外，这条看似清楚，实则最容易踩。

三种容易误判的情形：

第一种，业主群公布邻居信息。是不是家庭事务？要看你公布的目的是什么。如果是为了催缴物业费、曝光欠费，那是「事务」但不是「家庭事务」；如果是为了提醒邻居注意安全，范围又控制在小区内，可能还在家庭事务的边上。实务里这条线画得很细。

第二种，自媒体用了别人的照片。个人做公众号、发短视频，用的是别人的照片或者聊天记录。这已经不是「个人或者家庭事务」，是面向公众的传播，本法适用。

第三种，小生意用私人微信收集客户信息。很多人觉得自己是「个体户」，用私人号加客户不算处理者。但第七十三条对处理者的定义是「自主决定处理目的、处理方式的组织、个人」——个人也可以是处理者。只要你在决定「收集谁的、干什么用」，你就在这个定义里面。

十八、这一篇的四个软处

第一个软处：罚则太集中。全部罚款挤在第六十六条一条里，其余五条罚则都是软处理。这意味着执法时必须先把行为归到第六十六条，否则就没有财产罚可用。

第二个软处：机关违法只有处分。第六十八条对国家机关的处理是「责令改正」加「处分」，没有财产罚。这个设计在立法上有它的道理，但在个案里，个人很难从中获得实际补偿。

第三个软处：「禁止」用得极少。全法只出现四次，三处在涉外反制，一处是资格罚。对处理者的日常违法行为，这部法没有用过「禁止」这个词。

第四个软处：第七十二条的边界不清。「个人或者家庭事务」没有进一步定义，全靠个案判断。这个模糊在保护个人的同时也给了抗辩空间。

十九、接着看

这一篇是族内的母篇。全书总账、总则和附则在这里，其余四篇按块切开：

• 十五条一千九百七十一字：七项合法性基础六项不用同意，真正的「单独同意」只有三处（第二章第一节，一般处理规则）
• 十条七百零六字：管敏感信息和国家机关的十条，是全法最薄的一段（第二章第二、三节）
• 十三条一千五百二十七字：管出境的六条比给你的七条权利还多一百四十一字（第三、四章）
• 十五条二千四百零七字：全法最厚的一段，十七个「应当」配一个「不得」（第五、六章）

相关页面

• 个人信息
• 个人信息的处理
• 敏感个人信息
• 个人信息泄露怎么办
• 网络数据安全管理条例
• 个人信息保护法
• 网络个人信息常见问题
• 数据处理协议
• 法条深读
• 侵犯公民个人信息罪
• 网络与数据
• 法条逐条深读

---

本文依据《中华人民共和国个人信息保护法》现行文本逐条统计，条文汉字为条号后正文的全部字符数（含标点），不含条号与章、节标题。文中数字均经回库核对；个案结论因事实差异可能不同，本文不构成正式法律意见，具体事务请咨询执业律师。