十五条二千四百零七字：全法最厚的一段，十七个「应当」配一个「不得」

十五条，二千四百零七个条文汉字，占全法的百分之二十八点五三。

⁠​‌​‌​​‌​‌‌‌​‌​‌​​​‌​​​‌‌‌​​‌​‌‌​‌‌​​​‌‌​‌​‌​‌‌​​⁠

这是《中华人民共和国个人信息保护法》第五章和第六章：第五十一条到第五十九条管个人信息处理者的义务，第六十条到第六十五条管履行个人信息保护职责的部门。

这是整部法最厚的一段。比敏感信息与国家机关那十条（七百零六字）厚三点四倍，比总则那十二条（七百八十四字）厚三倍。

这一篇不算一般规则、敏感信息、跨境和权利，只算这十五条。之所以要单独拿一篇出来，是因为这两章回答的是同一个问题的两面：「你要做到什么」和「谁来查你有没有做到」。

而这一段里最值得先记住的一组数字是：「应当」十七次，「不得」一次，「禁止」零次，「罚款」零次，「同意」零次。

一、先摆数：十五条，二千四百零七字

逐条字数：

第五十四条只有三十八字，是整篇最短的一条，也是全法第四短。它管的是「合规审计」这么重的一件事，却只写了三十八个字。

第五十七条和第六十三条各二百四十七字，并列本篇最长。一个是泄露通知，一个是监管措施——一个管「出了事怎么办」，一个管「怎么查你有没有出事」。

二、两章一组：义务九条和部门六条

这两章的字数差得不多，条均差得很远。

义务九条，一千三百三十二字，条均一百四十八。部门六条，一千零七十五字，条均一百七十九点一七。

一百七十九点一七是全法所有章里的最高值。比义务章高三十一点一七，比跨境章（一百三十九）高四十点一七，比总则（六十五点三三）高一倍七。

这个数字说明了一件事：这部法写「谁管、怎么管」比写「你该怎么做」更细。

还有一组数字值得单独摆出来：

「同意」零次这一条最说明问题。全法二十七次「同意」，全部分布在第二章和第三章，这一段一次都没有。到了「你该怎么做」和「谁来查」这两步，同意的故事已经讲完了。

「罚款」零次同样关键：罚则全部集中在母篇的第六十六条，这一篇十五条里一个「罚款」都没有。义务归义务，罚归罚，两件事分开写。

三、第五十一条：六项措施，从制度到预案

二百四十二字，一句话带六项。开头先定了「怎么做」的方法论：根据处理目的、处理方式、信息种类、对个人权益的影响、可能存在的安全风险等，采取措施。

同一个句式在第五十五条又出现一次。这是这部法的一贯思路：措施要与风险相称，不是一刀切。

六项措施是：

1. 制定内部管理制度和操作规程；
2. 对个人信息实行分类管理；
3. 采取相应的加密、去标识化等安全技术措施；
4. 合理确定操作权限，并定期对从业人员进行安全教育和培训；
5. 制定并组织实施个人信息安全事件应急预案；
6. 法律、行政法规规定的其他措施。

六项里，前三项是「建制度」，第四项是「管人」，第五项是「备出事」。

四、把六项措施翻成公司里的话

法条的语言离日常管理有点远。翻译一遍，六项对应的是六件具体的事：

第一项，制度。要有一份写下来的东西，说明谁负责、什么流程、留什么记录。没有书面制度，出了事连「我们本来要求这么做」都说不出来。

第二项，分类管理。不是把所有个人信息一视同仁，而是分级。最低的分法：一般信息、敏感信息、未成年人信息。再细一点，按业务线、按系统、按数据量分。

第三项，技术措施。「相应的」三个字很重要——不是要求全部加密，是按风险配措施。传输环节加密、存储环节去标识化、展示环节脱敏，是最常见的三件。

第四项，权限与培训。「合理确定操作权限」这件事，实务里最有效的做法是最小权限加审批留痕。培训要「定期」，一次性培训不算。

第五项，应急预案。预案的核心不是文档，是出事之后谁能拍板、多久上报、怎么通知用户。这三件事没写清，预案就是废纸。

第六项，兜底。指向其他法律法规，比如等保、密码、网络安全法等级保护的那些要求。

五、第五十二条：保护负责人，门槛是「规定数量」

一百二十八字，两款。

第一款：处理个人信息达到国家网信部门规定数量的处理者，应当指定个人信息保护负责人，负责对处理活动及保护措施进行监督。

第二款：应当公开负责人的联系方式，并将姓名、联系方式等报送履行个人信息保护职责的部门。

门槛是「规定数量」，不是「所有处理者」。这个设计和欧盟《通用数据保护条例》的数据保护官不同——后者在若干情形下是强制的，但覆盖面更宽。本法把义务限定在达量处理者身上，中小企业的负担轻一些。

第二款有两个动作：公开、报送。公开是给个人的——让人找得到；报送是给监管的——让部门知道找谁。两个动作缺一不可。

六、第五十三条：境外处理者要在境内设机构

一百零七字：本法第三条第二款规定的境外处理者，应当在境内设立专门机构或者指定代表，负责处理个人信息保护相关事务，并将机构名称或者代表姓名、联系方式等报送履行个人信息保护职责的部门。

这一条是第三条域外适用的配套。第三条说「你的行为受我管」，第五十三条说「你得在我这儿有个人」。

两个选项：设专门机构，或者指定代表。「指定代表」这一项对中小企业更现实——不必设实体，指定一个能承担责任的主体就行。

七、第五十四条：合规审计，只有三十八个字

第五十四条三十八字：个人信息处理者应当定期对其处理个人信息遵守法律、行政法规的情况进行合规审计。

三十八个字，撑起了一项独立的合规义务。但三个关键问题它都没答：

第一，「定期」是多久？一年一次？两年一次？条文没说。

第二，谁来做？内部审计还是外部机构？条文没说。实务中两种都有人做，外部机构出具的审计报告在监管沟通中更受认可。

第三，审什么？审计范围、标准、报告格式，条文都没说。

这三处空白，目前靠《个人信息保护合规审计管理办法》填补。那份办法明确了触发情形和审计内容，但「定期」的周期仍然留给企业自己定，通常按处理规模和数据敏感度确定。

三十八个字，是这部法里「字数与义务重量」最不成比例的一条。

八、第五十五条：五种情形必须事前做影响评估

一百四十七字，列了五种必须事前做个人信息保护影响评估的情形：

1. 处理敏感个人信息；
2. 利用个人信息进行自动化决策；
3. 委托处理、向其他处理者提供、公开个人信息；
4. 向境外提供个人信息；
5. 其他对个人权益有重大影响的处理活动。

关键词是「事前」。不是出了事再评估，是在做之前评估。

五项里有四项是具体场景，第五项是兜底。把五项排一下，会发现一个规律：凡是对外流转、或者用算法做决定的，都要评估。

委托处理也算在内。这一项容易被漏——很多企业觉得「只是外包出去」，不用评估。但第五十五条第三项明确把委托处理列了进去。

九、第五十六条：评估报告写三项，存三年

第五十六条一百二十一字，规定评估内容与保存期限。

评估要包括三项：

1. 处理目的、处理方式等是否合法、正当、必要；
2. 对个人权益的影响及安全风险；
3. 所采取的保护措施是否合法、有效并与风险程度相适应。

第二款是一句硬要求：评估报告和处理情况记录应当至少保存三年。

「三年」是这部法里少数几个具体数字之一。第十九条的保存期限是「最短时间」这种相对标准，这里给了绝对下限。

三项内容的顺序也值得注意：先看合法正当必要，再看风险，最后看措施够不够。这个顺序就是评估报告该有的结构。

十、第五十七条：泄露通知，通知谁、说什么、何时可以不通知

二百四十七字，本篇最长之一，三款。

第一款是基本义务：发生或者可能发生泄露、篡改、丢失的，应当立即采取补救措施，并通知履行个人信息保护职责的部门和个人。

通知要包括三项：

1. 信息种类、原因和可能造成的危害；
2. 处理者采取的补救措施和个人可以采取的减轻危害的措施；
3. 处理者的联系方式。

三项里第二项最容易被写空。「个人可以采取的减轻危害的措施」是要给出具体动作的——改密码、挂失、警惕某类诈骗电话。写一句「请注意保护个人信息」不算。

第二款是一个例外：处理者采取措施能够有效避免泄露造成危害的，可以不通知个人。

但紧跟一句：部门认为可能造成危害的，有权要求处理者通知个人。

这个结构是「企业自判加监管否决」。企业可以先判断「危害已避免」，但监管可以推翻。

十一、第五十八条：大型平台的四项额外义务

二百二十七字，管的是三类主体：提供重要互联网平台服务、用户数量巨大、业务类型复杂的处理者。

四项义务：

1. 建立健全个人信息保护合规制度体系，成立主要由外部成员组成的独立机构对个人信息保护情况进行监督；
2. 遵循公开、公平、公正原则，制定平台规则，明确平台内产品或者服务提供者处理个人信息的规范和保护义务；
3. 对严重违法处理个人信息的平台内提供者，停止提供服务；
4. 定期发布个人信息保护社会责任报告，接受社会监督。

四项里第一项最特别：独立机构要「主要由外部成员组成」。这是全法唯一一处要求企业设立外部监督机构的条款。

第三项的分量也不轻：对平台内的违法者停止提供服务。这是把平台放在了「准监管」的位置上——它不只要管自己，还要管平台上的人。

第四项的社会责任报告，目前实务中发布的平台不多，格式也没有统一要求。

十二、第五十九条：受托人也有独立义务

第五十九条七十五字：接受委托处理个人信息的受托人，应当依照本法和有关法律、行政法规的规定，采取必要措施保障所处理的个人信息的安全，并协助个人信息处理者履行本法规定的义务。

这一条的意义在于：受托人不是「甩手掌柜」。虽然第二十一条把主要义务给了委托方，但第五十九条给受托人也设了独立义务——保障安全、协助委托方。

「协助」两个字是双向的。委托方要监督，受托方要配合；出了事，两边都跑不掉。

第六章换到监管这边：条均一百七十九点一七。

第六章六条，一千零七十五字，条均一百七十九点一七，全法最高。

结构是：一条定「谁」（第六十条），一条定「职责」（第六十一条），一条定「推进什么」（第六十二条），一条定「有什么手段」（第六十三条），一条定「柔性工具」（第六十四条），一条定「投诉举报」（第六十五条）。

六条里「可以」出现三次，是全法「可以」最密集的一章。第六十三条（可以采取下列措施）、第六十四条（可以约谈）、第六十二条（统筹协调推进）——管人的条文用「可以」不用「应当」，这是立法技术的常态：给手段，不给硬指标。

十三、第六十条：谁是「履行个人信息保护职责的部门」

一百四十四字，三款，把「谁管」说清楚。

第一款：国家网信部门负责统筹协调个人信息保护工作和相关监督管理工作。国务院有关部门在各自职责范围内负责。

第二款：县级以上地方人民政府有关部门的职责，按照国家有关规定确定。

第三款：前两款规定的部门统称为履行个人信息保护职责的部门。

第三款是一个技术性但很重要的定义。全法出现十几次「履行个人信息保护职责的部门」，都指这一组部门，不是一个部门。

这个结构叫「统筹加分工」：网信统筹，各行业主管部门按职责管。金融数据找金融监管部门，医疗数据找卫健部门，教育数据找教育部门。

十四、第六十一条：五项职责

一百五十八字，五项职责：

1. 开展宣传教育，指导、监督处理者开展工作；
2. 接受、处理与个人信息保护有关的投诉、举报；
3. 组织对应用程序等个人信息保护情况进行测评，并公布测评结果；
4. 调查、处理违法个人信息处理活动；
5. 法律、行政法规规定的其他职责。

第三项是这部法给监管的一个特色工具：测评并公布。通报 App 违规收集个人信息，依据就是这一项。

第五项没有「可以」也没有「应当」，是一个纯授权。这种写法在职责条款里常见，作用是给后续立法留口。

十五、第六十二条：五项推进工作，全法唯一提到新技术的地方

第六十二条二百一十八字，列了国家网信部门统筹协调推进的五项工作：

1. 制定个人信息保护具体规则、标准；
2. 针对小型个人信息处理者、处理敏感个人信息以及人脸识别、人工智能等新技术、新应用，制定专门的个人信息保护规则、标准；
3. 支持研究开发推广安全方便的电子身份认证技术，推进网络身份认证公共服务建设；
4. 推进个人信息保护社会化服务体系建设，支持有关机构开展评估、认证服务；
5. 完善投诉、举报工作机制。

这一条是全法唯一提到「人脸识别」和「人工智能」的地方。两个词各只出现一次，都在第二项里，而且是作为「可以另定规则」的对象出现，不是作为被规范的行为。

这个写法值得琢磨。人脸识别和算法推荐在当时已经是很现实的问题，本法第二十四条管了自动化决策，第二十六条管了公共场所图像采集，但都没有直接写「人脸识别」四个字。把这两个词放在第六十二条，等于说：具体规则另定。

后来出台的《人脸识别技术应用安全管理办法》《互联网信息服务算法推荐管理规定》《生成式人工智能服务管理暂行办法》，依据就是这一项。

第一项和第二项的差别也值得注意：第一项是「一般规则」，第二项是「专门规则」。一般规则覆盖所有人，专门规则针对两类对象——规模小的处理者和新技术新应用。一个给减负，一个加约束，写在同一条里。

第三项的电子身份认证、第四项的社会化服务，指向的是基础设施。这两项到目前为止落地最实的是第四项——个人信息保护认证、合规审计这两类服务，已经有了明确的管理办法和机构。

十六、第六十三条：四类措施，只有一项要批准

二百四十七字，两款，列了四类监管措施：

1. 询问有关当事人，调查有关情况；
2. 查阅、复制合同、记录、账簿以及其他有关资料；
3. 实施现场检查；
4. 检查设备、物品；对有证据证明用于违法活动的设备、物品，向本部门主要负责人书面报告并经批准，可以查封或者扣押。

第四项是四类里唯一带强制性的，也是唯一需要批准的。「书面报告并经批准」这七个字，是程序约束——防止现场随意查封。

第二款是配合义务：当事人应当协助、配合，不得拒绝、阻挠。

「查封」「扣押」全法各只出现一次，都在这一条。这是整部法给监管的最强硬手段。

十七、第六十四条：约谈和合规审计，两个柔性工具

第六十四条二百零二字，两款，给了两个不那么硬的手段。

第一款：发现处理活动存在较大风险或者发生安全事件的，可以按规定的权限和程序约谈法定代表人或者主要负责人，或者要求委托专业机构进行合规审计。处理者应当按要求采取措施、整改、消除隐患。

第二款：发现违法处理涉嫌犯罪的，应当及时移送公安机关。

第一款的三个词要连起来看：较大风险、约谈、整改。这是一条「先提醒再处理」的路径——不是一上来就罚，先叫来谈一次。

「约谈」全法只出现一次，就在这里。它没有法律后果，但实务中分量不轻：约谈记录往往成为后续处罚的起点。

十八、第六十五条：投诉举报，写在部门章而不是权利章

一百零六字，两款。

第一款：任何组织、个人有权对违法个人信息处理活动向履行个人信息保护职责的部门投诉、举报。收到投诉举报的部门应当依法及时处理，并将处理结果告知投诉、举报人。

第二款：部门应当公布接受投诉、举报的联系方式。

这一条最值得注意的地方是它的位置。投诉举报权是一项个人权利，但它没有写在第四章「个人权利」里，而是写在第六章「部门职责」里。

位置决定性质。写在权利章，它是「我可以要求你做什么」；写在部门章，它是「部门有义务接」。前者是私权，后者是公权救济的入口。

第一款还有一句很实在：「将处理结果告知投诉、举报人」。这一句把「投诉了没下文」这个常见情况写成了违法。

十九、算例：泄露十万条客户信息，三十天要做什么

场景：某电商公司发现订单库被拖，约十万条客户姓名、电话、地址外泄。

第 0 天到第 1 天：止损。按第五十七条第一款，「立即采取补救措施」——封堵入口、改密钥、切断异常访问。同时启动第五十一条第五项的应急预案。

第 1 天到第 3 天：判断要不要通知个人。按第五十七条第二款，如果能有效避免危害，可以不通知个人；但部门有权要求通知。实务中的稳妥做法是：只要涉及姓名加电话加地址这种可直接用于诈骗的组合，就通知。

第 1 天到第 3 天：通知部门。第一款要求「通知履行个人信息保护职责的部门和个人」，部门是必通知项，个人是可豁免项。

通知写什么？三项：泄露的信息种类、原因和可能造成的危害；已采取的补救措施和个人可采取的减轻措施；联系方式。第二项要给具体动作，比如「警惕以退款为名的电话索要验证码」。

第 3 天到第 30 天：评估与整改。按第五十五条第五项，这属于「对个人权益有重大影响的处理活动」，应当做事前评估——虽然事情已经发生，但同类处理还要继续，评估要做。评估报告按第五十六条保存三年。

同步要做：按第五十四条安排合规审计；按第六十四条准备应对约谈；按第五十一条第二项把分类管理补上。

可能的后果：按第六十六条，责令改正、警告、没收违法所得；拒不改正的并处一百万元以下罚款；情节严重的，五千万元以下或者上一年度营业额百分之五以下。

二十、这一篇的三个软处

第一个软处：第五十四条太短。三十八个字撑起合规审计，周期、主体、范围、标准全无。这条义务的实际执行力，取决于配套办法，而不取决于本法。

第二个软处：第五十八条的「大型平台」没有量化标准。什么叫「用户数量巨大」、什么叫「业务类型复杂」，条文没有给数字。这条义务目前主要靠企业自我认定。

第三个软处：第六十四条的约谈没有程序规定。什么情形约谈、约谈后多久整改、整改不到位怎么办，都没有。柔性工具的好处是灵活，坏处是不可预期。

二十一、接着看

这一篇是族内的子篇。全书总账、总则、法律责任和附则，见母篇：

• 母篇：七十四条八千四百三十八字：总则条均六十五点三三全书最低，四笔罚款全写在一篇里（全书总账、总则、法律责任、附则）

相关页面

• 数据安全负责人
• 数据安全事件
• 个人信息的处理
• 个人信息保护投诉
• 数据出境
• 网络数据安全管理条例
• 行政处罚法
• 合规义务
• 监督管理
• 法条深读
• 网络与数据
• 法条逐条深读
• 企业合规体检流程
• 数据合规与个人信息审计服务合同
• 数据合规处理协议
• 侵犯公民个人信息罪

---

本文依据《中华人民共和国个人信息保护法》现行文本逐条统计，条文汉字为条号后正文的全部字符数（含标点），不含条号与章、节标题。文中数字均经回库核对；个案结论因事实差异可能不同，本文不构成正式法律意见，具体事务请咨询执业律师。