十三条一千五百二十七字：管出境的六条八百三十四字，比给你的七条权利还多一百四十一字

十三条，一千五百二十七个条文汉字，条均一百一十七点四六。

⁠​‌​‌​​‌​‌‌‌​‌​‌​‌‌​​​​‌‌‌​​‌​‌‌​‌‌​​​‌‌​‌​‌​‌‌​​⁠

这是《中华人民共和国个人信息保护法》第三章和第四章的全部内容：第三十八条到第四十三条管个人信息出境，第四十四条到第五十条给个人在个人信息处理活动中的权利。

两章加起来十三条，字数却差得很远。管出境的六条，八百三十四字，条均一百三十九；给个人权利的七条，六百九十三字，条均九十九。

这一篇不算一般处理规则，不算敏感信息和国家机关，也不算义务与监管，只算这十三条。之所以要把这两章放在一起讲，是因为它们的对比本身就说明了一件事：这部法在「数据怎么出去」上写的字，比在「你能要什么」上写的字更多。

多多少？一百四十一字。

一、先摆数：十三条，一千五百二十七字

逐条字数：

最长的是第三十八条，二百七十六字，全法第三长（前两名是第六十六条三百四十二字、第十三条三百零九字）。最短的是第四十八条，三十字，全法第二短，只比第七十四条的十七字长。

十三条里，「应当」十二次、「可以」六次、「不得」一次、「禁止」三次、「有权」五次、「同意」两次、「告知」一次。

两组数字特别值得留意：

第一，「禁止」三次，全部落在第四十二条和第四十三条。这两条讲的都是涉外反制——对境外组织个人的限制禁止清单、对歧视性措施的对等反制。管自己人的条文里，一个「禁止」都没有。

第二，「同意」只出现两次，「告知」只出现一次，都在出境那一条里。权利章七条，一次「同意」都没有，一次「告知」都没有。

二、第三十八条：出境的三条路，加一条兜底

这一条二百七十六字，是全篇最长，也是整个出境制度的总入口。

基本规则是：因业务等需要，确需向境外提供的，应当具备下列条件之一：

1. 依照第四十条的规定通过国家网信部门组织的安全评估；
2. 按照国家网信部门的规定经专业机构进行个人信息保护认证；
3. 按照国家网信部门制定的标准合同与境外接收方订立合同，约定双方权利义务；
4. 法律、行政法规或者国家网信部门规定的其他条件。

四条是「之一」关系，不是「并且」。走通一条就行。

第二款是一个开放口子：我国缔结或者参加的国际条约、协定对出境条件另有规定的，可以按照其规定执行。

第三款是一项兜底义务：应当采取必要措施，保障境外接收方处理个人信息的活动达到本法规定的保护标准。

第三款是最容易被忽略、也最难做到的一款。它的意思是：数据出去了，责任没出去。你不能说「数据在境外，我管不了」。标准还是本法的标准，你要么用合同约束住，要么用技术手段保证。

三、三条路分别要什么

第一条路：安全评估。由境外接收方所在国家或者地区的个人信息保护政策法规、网信部门规定的情形决定要不要走。第四十条又单独点出两类主体必须先走评估。评估是事前审批性质，时间最长。

第二条路：认证。由专业机构对处理者的个人信息保护体系做认证。这条路适合有稳定出境需求、体系比较成熟的企业。

第三条路：标准合同。按网信部门制定的标准合同范本与境外接收方签约。这是中小企业最常用的一条，成本最低，但合同条款不能改，只能填。

三条路的共同点：都要能证明「出境之后仍然达标」。这一点在实务里是真正的难点——评估、认证、标准合同都只是形式，能不能达到本法的保护标准是实质。

四、三条路怎么选：一张对照表

三条路里两条是「自己选」，一条是「必须走」。这个结构说明立法者的判断：出境这件事本身不是被禁止的，被禁止的是「出去了就没人管」。三条路都是留下一条可追溯的责任链，区别只在链条的形式。

选择上的实务建议很简单：先看自己是不是第四十条那两类主体。是，只有一条路；不是，按出境规模和数据敏感度在剩下两条里选。

五、第四十条：两类主体必须先存境内

一百二十七字，管的是两类特殊主体：

1. 关键信息基础设施运营者；
2. 处理个人信息达到国家网信部门规定数量的处理者。

规则是两层：

第一层，应当将在境内收集和产生的个人信息存储在境内。注意是「存储」在境内，不只是「服务器在境内」。

第二层，确需向境外提供的，应当通过国家网信部门组织的安全评估。这两类主体没有「标准合同」和「认证」两个选项，只有评估一条路。

这个设计和第三十八条不一样：第三十八条给所有处理者三条路，第四十条给两类重点主体只留一条路。路越窄，说明管得越严。

「规定数量」是多少，由网信部门定。目前实务中的口径出自《促进和规范数据跨境流动规定》，按累计向境外提供个人信息的人数分档。

六、第三十九条：出境要单独同意，还要告知六项

一百零六字，一句话，但要拆成两件事看。

第一件是告知，六项：

1. 境外接收方的名称或者姓名；
2. 联系方式；
3. 处理目的；
4. 处理方式；
5. 个人信息的种类；
6. 个人向境外接收方行使本法规定权利的方式和程序。

第二件是取得个人的单独同意。

第六项最容易漏。它问的不是「我们怎么处理」，而是「你到了境外之后，找谁行使权利、怎么行使」。跨境场景里这一项恰恰最要紧——数据到了境外，本法的执法触角伸不过去，个人能依靠的只有合同约定的那条通道。

「单独同意」的要求，和向境内第三方提供是同一档。换句话说，出境在同意这一环上，并没有比境内提供更严。

七、第四十一条：外国法院要数据，先经中国主管机关批准

一百三十六字，两句话，讲的是另一件事：外国人向我们要数据。

第一句：中华人民共和国主管机关根据有关法律、我国缔结或者参加的国际条约协定，或者按照平等互惠原则，处理外国司法或者执法机构关于提供存储于境内个人信息的请求。

第二句是禁止性的：非经中华人民共和国主管机关批准，个人信息处理者不得向外国司法或者执法机构提供存储于中华人民共和国境内的个人信息。

第二句是硬约束。它意味着：一家中国公司收到外国法院的传票、外国监管的问询、外国律所的取证函，不能直接给，必须先报中国主管机关批准。

实务里这一条的分量很重。跨国企业、跨境电商、有海外诉讼的国内企业，都会撞上这个冲突：一边是外国法院的命令，一边是中国的禁止。处理这类冲突的第一步，不是找律师写回函，是报告主管机关。

八、第四十二条和第四十三条：两个反制工具

第四十二条一百一十三字，给了一个清单工具：境外的组织、个人从事侵害我国公民个人信息权益，或者危害国家安全、公共利益的个人信息处理活动的，国家网信部门可以将其列入限制或者禁止个人信息提供清单，予以公告，并采取限制或者禁止向其提供个人信息等措施。

这是全法「禁止」出现最密集的地方——这一条一条里就有两处。

第四十三条七十六字，给了一个对等工具：任何国家或者地区在个人信息保护方面对我国采取歧视性的禁止、限制或者其他类似措施的，我国可以根据实际情况对该国家或者地区对等采取措施。

这两条合起来，构成了这部法的对外反制框架：一个清单，一个对等。两条都没有规定程序和救济，属于授权性条款。

九、第四章换到个人这边：七条六百九十三字

第四章七条，六百九十三字，条均九十九。这是全法唯一一章专门写给个人的。

七条的结构很清楚：一条总纲（第四十四条），五条具体权利（第四十五到四十九条），一条程序保障（第五十条）。

「有权」在这一章出现五次：第四十四条、第四十五条、第四十六条、第四十七条、第四十八条。全法「有权」共十次，这一章占一半。

十、第四十四条：知情权、决定权，加一个「有权拒绝」

第四十四条五十七字：

个人对其个人信息的处理享有知情权、决定权，有权限制或者拒绝他人对其个人信息进行处理；法律、行政法规另有规定的除外。

三个东西：知情权、决定权、限制或拒绝的权利。

「决定权」是一个很重的词。它比「同意权」宽——同意只是对某一次处理说好，决定权是对整个处理活动说了算。但这一条没有展开决定权包含什么，具体内容要靠第四十五条到第四十九条去落实。

「有权限制」这四个字也值得注意。它意味着你可以只同意一部分——比如同意收集、不同意共享。

十一、第四十五条：查阅、复制、转移，三层

一百三十二字，三款，三层权利。

第一层，查阅、复制。个人有权向处理者查阅、复制其个人信息。两个除外：第十八条第一款（法定不告知）和第三十五条（机关告知例外）。

第二层，及时提供。个人请求查阅、复制的，处理者应当及时提供。「及时」没有具体天数。

第三层，转移。个人请求将个人信息转移至其指定的处理者，符合网信部门规定条件的，处理者应当提供转移的途径。

第三层就是通常说的「可携带权」。注意它有三个限定：请求转移、指定接收方、符合规定条件。它不是「一键搬家」，是「你得给我一条路」。

这一款在实务里用得不多，原因是「符合国家网信部门规定条件」这个前提一直没有普遍适用的细则。

十二、可携带权为什么用不起来

第四十五条第三款给了「转移」的权利，但加了一个前提：符合国家网信部门规定条件。

这个前提一直没有普遍适用的细则，结果是这条权利在实践中几乎没有落地。三个现实障碍：

第一，格式不通。A 平台导出的数据，B 平台读不了。没有统一格式，「转移」就变成了「重新填一遍」。

第二，商业阻力。数据是平台的资产，主动帮你搬到对手那里，没有几家愿意做。

第三，责任不清。转移过程中出了泄露，算谁的？法条没有回答。

所以目前实际能用的，是第四十五条第一款和第二款：查阅和复制。导出自己的数据，多数平台在设置里都能做到。至于「搬到另一家」，还是靠个人手动操作。

这一条和欧盟《通用数据保护条例》第二十条的数据可携带权形式上接近，落地程度却差得远，卡点就在「符合规定条件」这五个字上。

十三、第四十六条和第四十七条：更正、删除

第四十六条八十一字，管更正和补充：发现信息不准确或者不完整的，有权请求更正、补充；处理者应当核实，并及时更正、补充。

注意「核实」这个前置动作。处理者不是一接到请求就必须改，可以先核实。但核实不能变成拖延的理由。

第四十七条二百三十六字，是全篇第二长，也是权利章最长的一条。

第一款列了五种应当主动删除的情形：

1. 处理目的已实现、无法实现或者为实现处理目的不再必要；
2. 处理者停止提供产品或者服务，或者保存期限已届满；
3. 个人撤回同意；
4. 处理者违反法律、行政法规或者违反约定处理个人信息；
5. 法律、行政法规规定的其他情形。

五种情形里，前两种是「事情办完了」，第三种是「我反悔了」，第四种是「你违法了」。

注意它的结构：处理者「应当主动删除」，未删除的，个人「有权请求删除」。主动删除在前，请求删除在后。这是一个很重要的次序——不是等你来要，是你自己就该删。

十四、第四十七条第二款：删不掉的时候怎么办

第二款只有一句话，但它是整条里最实用的：法律、行政法规规定的保存期限未届满，或者删除个人信息从技术上难以实现的，处理者应当停止除存储和采取必要的安全保护措施之外的处理。

这句话解决了一个现实问题：有些数据真的删不掉。备份磁带、日志归档、区块链上写死的内容，技术上无法逐条删除。

处理办法不是「假装删了」，是「冻结」——只存着，不再做任何处理，并且继续保护它的安全。

这个「冻结」状态，在合规上等同于删除。实务里跟监管沟通时，这是一个可以主张的立场：我删不了，但我停了。

十五、第四十八条：解释说明权，全法第二短

第四十八条三十字：个人有权要求个人信息处理者对其个人信息处理规则进行解释说明。

三十个字，一句话，没有配套义务条款，没有违反后果。

这是全法最轻的一条权利条款。对比第四十五条有「应当及时提供」、第四十六条有「应当核实并更正」、第四十七条有「应当主动删除」、第五十条有「应当建立机制」，第四十八条什么都没有。

但这不等于它没用。「解释说明」在实务里是打开黑箱的入口：算法怎么算的、规则为什么这么定、我的信息被用在了哪一步。很多纠纷的第一步，就是要一份能看懂的说明。

十六、第四十九条：人去世以后，近亲属能查什么

七十字，一句主体加一个除外。

规则：自然人死亡的，其近亲属为了自身的合法、正当利益，可以对死者的相关个人信息行使本章规定的查阅、复制、更正、删除等权利；死者生前另有安排的除外。

三个限定要看清：

第一，主体是近亲属。谁是近亲属，按民法典第一千零四十五条：配偶、父母、子女、兄弟姐妹、祖父母、外祖父母、孙子女、外孙子女。

第二，目的限于「自身的合法、正当利益」。不是继承死者的全部信息权利，是为了自己的利益。典型场景：查死者的账户余额、删掉死者社交账号里的内容、查死者的医疗记录以了解家族病史。

第三，死者生前另有安排的除外。这一句把生前意愿放在最优先——你可以在生前明确说不让谁看。

注意它列举的四项权利里没有「转移」（第四十五条第三款），也没有第四十四条的决定权。近亲属拿到的是有限的四项，不是全部。

再看一层：数字遗产，第四十九条和继承编的分工。

第四十九条常被叫作数字遗产条款，但它管的不是遗产。

它管的是近亲属为了自身利益可以查、可以改、可以删，不是近亲属可以继承。

两者的区别在三个方面：

第一，权利来源不同。第四十九条的来源是个人信息权益，保护的是近亲属自身的合法正当利益；继承的来源是民法典继承编，保护的是财产承继。

第二，标的不同。第四十九条指向死者的相关个人信息，包括聊天记录、照片、账户信息；继承指向遗产，即自然人死亡时遗留的个人合法财产。社交账号本身一般不能继承——用户协议里通常约定账号所有权归平台。

第三，限制不同。第四十九条有一句「死者生前另有安排的除外」，把生前意愿放在最优先；继承编也有遗嘱优先，但遗嘱不能剥夺缺乏劳动能力又没有生活来源的继承人的必要份额。

实务里最常见的两类需求：

一类是查账户。老人去世，子女不知道有没有存款、买了什么理财。这时可以用第四十九条查死者的账户信息，也可以用继承编的规定去银行查，两条路可以并用。

另一类是删内容。死者的社交账号里有不愿公开的内容，近亲属希望删除。这件事只能用第四十九条，因为继承编管不了「删除」这个动作。

最容易出错的地方，是以为近亲属可以接管账号。不能。能查、能改、能删，不等于能以死者身份继续使用。

十七、第五十条：申请受理机制，加一条起诉通道

第五十条八十七字，两款。

第一款：处理者应当建立便捷的个人行使权利的申请受理和处理机制；拒绝请求的，应当说明理由。

第二款：处理者拒绝请求的，个人可以依法向人民法院提起诉讼。

第二款是这一章里最实用的一句。它把前面六条的权利，接上了一条司法救济通道。没有这一句，第四十四条到第四十九条都只是宣示。

注意它说「依法」起诉——起诉的案由、举证、赔偿，还要回到第六十九条和民事诉讼法上去。

十八、算例：想让平台删掉一张照片，走哪几步

场景：你在某平台发过一张照片，后来注销了账号，半年后发现照片还能被搜到。

第一步，定性。这张照片是你的个人信息，可能还包含肖像。平台是处理者。

第二步，找依据。第四十七条第一款第（二）项——处理者停止提供产品或者服务，或者保存期限已届满；第（三）项——你撤回同意（注销账号可以视为撤回）。两种情形都落上了，平台应当主动删除。

第三步，走程序。按第五十条，向平台提出删除请求，平台应当有便捷的受理机制；拒绝的，应当说明理由。

第四步，看第二款。如果平台拒绝，或者干脆不理，按第五十条第二款可以向法院起诉。

第五步，看技术不能的情形。如果平台说「已经进了备份，删不掉」，按第四十七条第二款，它应当停止除存储和安全保护之外的处理。你要的是「不再被搜到、不再被使用」，不是「物理销毁」。

第六步，还有别的路吗？按第六十五条向履行个人信息保护职责的部门投诉，比起诉快，也不收费。删帖这类事，投诉往往比诉讼有效。

十九、这一篇的三个软处

第一个软处：知情权、决定权没有展开。第四十四条给了两个很大的词，但后面六条只落实了查阅、复制、更正、删除、解释说明这些具体动作。「决定权」到底包含什么，法条没说。

第二个软处：第四十八条没有牙齿。解释说明权只有一句话，没有「应当」、没有期限、没有后果。实践中要求平台解释算法，基本得不到实质回应。

第三个软处：「及时」「便捷」都没有量化。第四十五条的「及时提供」、第五十条的「便捷机制」，都没有天数。对处理者来说这留下了空间，对个人来说这意味着维权时很难主张「你超时了」。

二十、权利章没有罚则，靠什么执行

第四章七条，一个「罚款」都没有，「责令」也没有，整章没有一个处罚性表述。

那这些权利靠什么落地？三条路。

第一条，第五十条第二款的起诉通道。拒绝行使权利的请求，可以起诉，这是最直接的一条。

第二条，第六十五条的投诉举报。向履行个人信息保护职责的部门投诉，部门按第六十一条第二项受理、按第六十三条调查、按第六十六条处罚。注意处罚的依据不是「侵犯了你的查阅权」，而是「违反本法规定处理个人信息」或者「未履行个人信息保护义务」。

第三条，第六十九条的侵权之诉。权利受侵害造成损害的，按过错推定要求赔偿。

三条路里第二条最常用。原因很实际：投诉不收费、不用请律师、不用先证明损失。第一条和第三条都要面对举证和成本。

这也解释了一个现象：这部法实施以来，个人直接起诉平台的案例不少，但绝大多数围绕泄露和滥用的损害赔偿，围绕查阅权、解释说明权的诉讼极少。权利写在纸上，能不能兑现，最终看背后那条救济通道好不好走。

二十一、接着看

这一篇是族内的子篇。全书总账、总则、法律责任和附则，见母篇：

• 母篇：七十四条八千四百三十八字：总则条均六十五点三三全书最低，四笔罚款全写在一篇里（全书总账、总则、法律责任、附则）

相关页面

• 数据出境
• 个人信息出境标准合同
• 境外机构调取境内数据
• 死者个人信息
• 个人信息权益
• 网络数据安全管理条例
• 关键信息基础设施安全保护条例
• 个人信息出境
• 个人信息权益
• 法条深读
• 网络与数据
• 法条逐条深读
• 数据出境常见问题
• 数据出境安全评估服务合同
• 侵犯公民个人信息罪
• 个人信息泄露怎么办

---

本文依据《中华人民共和国个人信息保护法》现行文本逐条统计，条文汉字为条号后正文的全部字符数（含标点），不含条号与章、节标题。文中数字均经回库核对；个案结论因事实差异可能不同，本文不构成正式法律意见，具体事务请咨询执业律师。