第五十一条到第六十五条，十五条二千四百零七个条文汉字，占全法的百分之二十八点五三，是最厚的一段，比敏感信息与国家机关那十条（七百零六字）厚三点四倍。其中处理者义务九条一千三百三十二字，条均一百四十八；监管部门六条一千零七十五字，条均一百七十九点一七，是全法条均最高的一章。十五条里「应当」十七次、「可以」五次、「不得」一次、「禁止」零次、「罚款」零次、「同意」零次。第五十四条只有三十八字，本篇最短；第五十七条和第六十三条各二百四十七字，并列本篇最长。
第三十八条到第五十条，十三条一千五百二十七个条文汉字，条均一百一十七点四六。前六条管个人信息出境，八百三十四字，条均一百三十九；后七条给个人权利，六百九十三字，条均九十九。给「管出境」的字数，比给「你的权利」多一百四十一字。十三条里「禁止」出现三次，全部在第四十二条和第四十三条这两条涉外反制条款；「有权」出现五次，全在第四章。「同意」只出现两次，「告知」只出现一次，都在出境那一条里。最长的是第三十八条二百七十六字，最短的是第四十八条三十字。第七十条的公益诉讼另在母篇讲。
第二十八条到第三十七条，十条七百零六个条文汉字，条均七十点六，是全法条均一百一十四点零三的六成二，也是全法最薄的一段。其中敏感个人信息五条四百二十二字，条均八十四点四；国家机关五条二百八十四字，条均五十六点八，比总则的六十五点三三还低，是全法条均最低的一节。第二十八条列了六类敏感信息再加一类主体（不满十四周岁未成年人），这一条一百五十六字，是本篇最长；第三十三条只有三十五字，本篇最短。十条里「禁止」零次、「有权」零次、「不得」只有一次。
第十三条到第二十七条，十五条一千九百七十一个字，条均一百三十一点四，比全法条均高十七点三七。全法「同意」出现二十七次，这一节占了二十二次，占八成二；「告知」十六次占十次；「单独同意」六次占四次。但第十三条列的七项合法性基础里，只有第一项是「同意」，第二项到第七项都不需要取得同意。真正设定「单独同意」的只有三条：第二十三条向他人提供、第二十五条公开、第二十六条公共场所图像采集。第二十五条只有三十二字，是全法第三短的一条。第十三条三百零九字，全法第二长。
个人信息保护法七十四条、八千四百三十八个条文汉字、八章，条均一百一十四点零三。总则十二条只写七百八十四字，条均六十五点三三，是八章里最低的一章；第二章二十五条二千六百七十七字占了三成一，法律责任六条七百五十八字只占百分之九。全法「罚款」出现四次，全部挤在第六十六条一条里面，那一条三百四十二字，也是全书最长的一条；「赔偿」出现三次，全在第六十九条。第七十四条十七字，全书最短。附则第七十二条把「个人或者家庭事务」整块排除在适用范围之外。
业主名册由姓名、房号、手机号、面积、交房时间组成，属于受法律保护的个人信息，物业收集它有合法基础，但目的只限于物业服务本身。把它提供给装修公司，属于向他人提供个人信息，要告知并取得同意，做不到就构成违法处理。本篇拆开三个高发泄露口子，给一套反查来源的话术与记录方法，讲清过错推定下的索赔路径、投诉报案入口的取舍，以及换物业后能不能要求删除名册。
个人信息保护合规审计是法定义务，不是可选项：个人信息处理者应当定期对处理个人信息遵守法律、行政法规的情况进行合规审计；监管部门发现较大风险或者发生安全事件的，还可以要求企业委托专业机构审计。审计前要先做影响评估，两块经常被混为一谈——评估是「事前判断风险」，审计是「事后检查合规」，触发条件和产出都不同。
违反网络数据安全管理条例的罚款不是一口价——第55条到第58条按义务条款分了四档，从100万以下到1000万，责任人员还要另罚。这篇把罚则梯度排成表，讲清与网络安全法、个保法怎么衔接。
处理敏感个人信息、自动化决策、委托处理或对外提供或公开个人信息、向境外提供，以及其他对个人权益有重大影响的处理活动，都须事前做个人信息保护影响评估并记录，报告与记录至少保存三年，漏做是执法与诉讼中的硬伤。
符合国家网信部门规定条件的，个人有权请求把个人信息转移至指定处理者，平台应提供转移途径；条例进一步明确须验证身份、限于同意提供或基于合同收集的信息、技术可行且不损害他人权益，超合理次数可收成本费。
处理个人自行公开或已合法公开的个人信息，可在合理范围内进行且不需同意，但个人明确拒绝的除外；对权益有重大影响的处理仍须取得同意，挪用、拼接、倒卖已公开信息都可能越界甚至触刑。
公司处理员工个人信息可依人力资源管理必需不经同意，但收集仍须限于最小必要：背调须经候选人书面授权且限于与岗位相关的核实项，考勤与办公监控须告知且不得延伸到私人空间，违规收集、泄露员工信息同样适用个保法的投诉与索赔规则。
App 违规收集个人信息的，先在 App 内申请删除注销并书面催办，再向网信部门 12377、工信部门 12321 投诉；监管部门可责令整改、通报、下架，情节严重的可处高额罚款并暂停或终止服务。
个人信息不准确或不完整的，个人有权请求处理者更正、补充，处理者应当核实并及时办理；拒绝必须说明理由，可投诉、可起诉，征信领域的错误另有异议更正程序，损害可依过错推定索赔。
敏感个人信息一旦泄露容易侵害人格尊严或人身财产安全，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹及不满十四周岁未成年人信息；处理须有特定目的、充分必要性并采取严格保护措施，原则上取得单独同意。
