Published on

in

,

「중화인민공화국 개인정보보호법」 《中华人民共和国个人信息保护法》

모덕승(慕德昇)(중국정법대학교 박사) 번역

법령정보

출전: 북대법보(北大法宝) 및 중국 국가법률법규DB 현행본(2026. 8. 1. 확인).

  • 2021. 8. 20. 제정·공포, 2021. 11. 1. 시행

한중대조번역

클릭하시면 펼쳐집니다.
中文原文한국어 번역
第一章 总则제1장 총칙
第一条　为了保护个人信息权益，规范个人信息处理活动，促进个人信息合理利用，根据宪法，制定本法。제1조　개인정보 권익을 보호하고 개인정보 처리 활동을 규율하며 개인정보의 합리적인 이용을 촉진하기 위하여 헌법에 따라 이 법을 제정한다.      
第二条　自然人的个人信息受法律保护，任何组织、个人不得侵害自然人的个人信息权益。제2조　자연인의 개인정보는 법률의 보호를 받으며, 어떠한 조직이나 개인도 자연인의 개인정보 권익을 침해하여서는 아니 된다.
第三条　在中华人民共和国境内处理自然人个人信息的活动，适用本法。 在中华人民共和国境外处理中华人民共和国境内自然人个人信息的活动，有下列情形之一的，也适用本法： （一）以向境内自然人提供产品或者服务为目的； （二）分析、评估境内自然人的行为； （三）法律、行政法规规定的其他情形。제3조　중화인민공화국 경내에서 자연인의 개인정보를 처리하는 활동에는 이 법을 적용한다. 중화인민공화국 경외에서1 중화인민공화국 경내 자연인의 개인정보를 처리하는 활동이 다음 각 호의 어느 하나에 해당하는 경우에도 이 법을 적용한다. (1) 경내 자연인에게 제품 또는 서비스를 제공하는 것을 목적으로 하는 경우 (2) 경내 자연인의 행위를 분석·평가하는 경우 (3) 법률·행정법규가 정한 그 밖의 경우
第四条　个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。 个人信息的处理包括个人信息的收集、存储、使用、加工、传输、提供、公开、删除等。제4조　개인정보란 전자적 방식 또는 그 밖의 방식으로 기록되어 식별되거나 식별 가능한 자연인과 관련된 각종 정보를 말하며, 익명화2 처리된 정보는 포함하지 아니한다. 개인정보 처리에는 개인정보의 수집, 저장, 사용, 가공, 전송, 제공, 공개, 삭제 등이 포함된다.
第五条　处理个人信息应当遵循合法、正当、必要和诚信原则，不得通过误导、欺诈、胁迫等方式处理个人信息。제5조　개인정보를 처리할 때에는 합법성·정당성·필요성 및 신의성실의 원칙을 따라야 하며, 오도·기망·강박 등의 방법으로 개인정보를 처리하여서는 아니 된다.
第六条　处理个人信息应当具有明确、合理的目的，并应当与处理目的直接相关，采取对个人权益影响最小的方式。 收集个人信息，应当限于实现处理目的的最小范围，不得过度收集个人信息。제6조　개인정보 처리는 명확하고 합리적인 목적을 가져야 하고 처리 목적과 직접 관련되어야 하며, 개인의 권익에 미치는 영향을 최소화하는 방식을 취하여야 한다. 개인정보의 수집은 처리 목적을 달성하는 데 필요한 최소 범위로 제한하여야 하며 과도하게 수집하여서는 아니 된다.
第七条　处理个人信息应当遵循公开、透明原则，公开个人信息处理规则，明示处理的目的、方式和范围。제7조　개인정보를 처리할 때에는 공개·투명의 원칙을 따르고 개인정보 처리규칙을 공개하며 처리 목적·방식·범위를 명시하여야 한다.
第八条　处理个人信息应当保证个人信息的质量，避免因个人信息不准确、不完整对个人权益造成不利影响。제8조　개인정보를 처리할 때에는 개인정보의 품질을 보장하여 부정확하거나 불완전한 개인정보로 개인의 권익에 불리한 영향이 발생하지 않도록 하여야 한다.
第九条　个人信息处理者应当对其个人信息处理活动负责，并采取必要措施保障所处理的个人信息的安全。제9조　개인정보처리자는 자신의 개인정보 처리 활동에 책임을 지고 필요한 조치를 취하여 처리하는 개인정보의 안전을 보장하여야 한다.
第十条　任何组织、个人不得非法收集、使用、加工、传输他人个人信息，不得非法买卖、提供或者公开他人个人信息；不得从事危害国家安全、公共利益的个人信息处理活动。제10조　어떠한 조직이나 개인도 타인의 개인정보를 불법으로 수집·사용·가공·전송하거나 불법으로 매매·제공·공개하여서는 아니 되며, 국가안전 또는 공공이익을 해치는 개인정보 처리 활동을 하여서는 아니 된다.
第十一条　国家建立健全个人信息保护制度，预防和惩治侵害个人信息权益的行为，加强个人信息保护宣传教育，推动形成政府、企业、相关社会组织、公众共同参与个人信息保护的良好环境。제11조　국가는 개인정보 보호제도를 구축·정비하고 개인정보 권익을 침해하는 행위를 예방·처벌하며 개인정보 보호에 관한 홍보·교육을 강화하여 정부·기업·관련 사회단체 및 대중이 함께 개인정보 보호에 참여하는 건전한 환경을 조성한다.
第十二条　国家积极参与个人信息保护国际规则的制定，促进个人信息保护方面的国际交流与合作，推动与其他国家、地区、国际组织之间的个人信息保护规则、标准等互认。제12조　국가는 개인정보 보호 국제규칙의 제정에 적극 참여하고 개인정보 보호 분야의 국제교류와 협력을 촉진하며 다른 국가·지역·국제기구와 개인정보 보호 규칙·표준 등의 상호인정을 추진한다.
第二章 个人信息处理规则제2장 개인정보 처리규칙
第一节 一般规定제1절 일반규정
第十三条　符合下列情形之一的，个人信息处理者方可处理个人信息： （一）取得个人的同意； （二）为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需； （三）为履行法定职责或者法定义务所必需； （四）为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需； （五）为公共利益实施新闻报道、舆论监督等行为，在合理的范围内处理个人信息； （六）依照本法规定在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息； （七）法律、行政法规规定的其他情形。 依照本法其他有关规定，处理个人信息应当取得个人同意，但是有前款第二项至第七项规定情形的，不需取得个人同意。제13조　다음 각 호의 어느 하나에 해당하는 경우에만 개인정보처리자는3 개인정보를 처리할 수 있다. (1) 개인의 동의를 받은 경우 (2) 개인이 일방 당사자인 계약의 체결·이행에 필요하거나, 법에 따라 제정된 취업규칙4 및 법에 따라 체결된 단체협약에 따라 인사관리를 실시하는 데 필요한 경우 (3) 법정 직무 또는 법정 의무를 이행하는 데 필요한 경우 (4) 공중보건 비상사태에 대응하거나 긴급상황에서 자연인의 생명·건강 및 재산 안전을 보호하는 데 필요한 경우 (5) 공공이익을 위하여 보도·여론에 의한 감시 등의 행위를 하면서 합리적인 범위에서 개인정보를 처리하는 경우 (6) 이 법에 따라 개인이 스스로 공개하였거나 그 밖에 이미 합법적으로 공개된 개인정보를 합리적인 범위에서 처리하는 경우 (7) 법률·행정법규가 정한 그 밖의 경우 이 법의 다른 규정에 따라 개인정보를 처리하려면 개인의 동의를 받아야 한다. 다만 전항 제2호부터 제7호까지의 경우에는 개인의 동의를 받을 필요가 없다.
第十四条　基于个人同意处理个人信息的，该同意应当由个人在充分知情的前提下自愿、明确作出。法律、行政法规规定处理个人信息应当取得个人单独同意或者书面同意的，从其规定。 个人信息的处理目的、处理方式和处理的个人信息种类发生变更的，应当重新取得个人同意。제14조　개인의 동의에 기초하여 개인정보를 처리하는 경우, 그 동의는 개인이 충분한 정보를 제공받은 상태에서 자발적이고 명확하게 표시한 것이어야 한다. 법률·행정법규에서 개인정보 처리에 개인의 별도 동의 또는 서면 동의를 받도록 정한 경우에는 그 규정에 따른다. 개인정보 처리 목적·방식 또는 처리하는 개인정보의 종류가 변경된 경우에는 개인의 동의를 다시 받아야 한다.
第十五条　基于个人同意处理个人信息的，个人有权撤回其同意。个人信息处理者应当提供便捷的撤回同意的方式。 个人撤回同意，不影响撤回前基于个人同意已进行的个人信息处理活动的效力。제15조　개인의 동의에 기초하여 개인정보를 처리하는 경우, 개인은 동의를 철회할 권리가 있다. 개인정보처리자는 편리한 동의 철회방법을 제공하여야 한다. 동의 철회는 철회 전에 개인의 동의에 기초하여 이루어진 개인정보 처리 활동의 효력에 영향을 미치지 아니한다.
第十六条　个人信息处理者不得以个人不同意处理其个人信息或者撤回同意为由，拒绝提供产品或者服务；处理个人信息属于提供产品或者服务所必需的除外。제16조　개인정보처리자는 개인이 개인정보 처리에 동의하지 아니하거나 동의를 철회하였다는 이유로 제품 또는 서비스의 제공을 거부하여서는 아니 된다. 다만 개인정보 처리가 제품 또는 서비스 제공에 필수적인 경우는 제외한다.
第十七条　个人信息处理者在处理个人信息前，应当以显著方式、清晰易懂的语言真实、准确、完整地向个人告知下列事项： （一）个人信息处理者的名称或者姓名和联系方式； （二）个人信息的处理目的、处理方式，处理的个人信息种类、保存期限； （三）个人行使本法规定权利的方式和程序； （四）法律、行政法规规定应当告知的其他事项。 前款规定事项发生变更的，应当将变更部分告知个人。 个人信息处理者通过制定个人信息处理规则的方式告知第一款规定事项的，处理规则应当公开，并且便于查阅和保存。제17조　개인정보처리자는 개인정보를 처리하기 전에 눈에 잘 띄는 방식으로 명확하고 이해하기 쉬운 표현을 사용하여 다음 각 호의 사항을 개인에게 사실대로 정확하고 완전하게 고지하여야 한다. (1) 개인정보처리자의 명칭 또는 성명과 연락처 (2) 개인정보 처리 목적·방식, 처리하는 개인정보의 종류 및 보존기간 (3) 개인이 이 법에서 정한 권리를 행사하는 방법과 절차 (4) 법률·행정법규가 고지하도록 정한 그 밖의 사항 전항의 사항이 변경된 경우에는 변경된 내용을 개인에게 고지하여야 한다. 개인정보처리자가 개인정보 처리규칙을 제정하여 제1항의 사항을 고지하는 경우, 그 처리규칙을 공개하고 쉽게 열람·보존할 수 있도록 하여야 한다.
第十八条　个人信息处理者处理个人信息，有法律、行政法规规定应当保密或者不需要告知的情形的，可以不向个人告知前条第一款规定的事项。 紧急情况下为保护自然人的生命健康和财产安全无法及时向个人告知的，个人信息处理者应当在紧急情况消除后及时告知。제18조　개인정보처리자가 개인정보를 처리할 때 법률·행정법규에서 비밀로 유지하도록 하거나 고지할 필요가 없다고 정한 경우에는 제17조제1항의 사항을 개인에게 고지하지 않을 수 있다. 긴급상황에서 자연인의 생명·건강 및 재산 안전을 보호하기 위하여 지체 없이 고지할 수 없는 경우, 개인정보처리자는 긴급상황이 해소된 후 지체 없이 고지하여야 한다.
第十九条　除法律、行政法规另有规定外，个人信息的保存期限应当为实现处理目的所必要的最短时间。제19조　법률·행정법규에 달리 정함이 있는 경우를 제외하고 개인정보 보존기간은 처리 목적을 달성하는 데 필요한 최단기간으로 하여야 한다.
第二十条　两个以上的个人信息处理者共同决定个人信息的处理目的和处理方式的，应当约定各自的权利和义务。但是，该约定不影响个人向其中任何一个个人信息处理者要求行使本法规定的权利。 个人信息处理者共同处理个人信息，侵害个人信息权益造成损害的，应当依法承担连带责任。제20조　둘 이상의 개인정보처리자가 개인정보 처리 목적과 방식을 공동으로 결정하는 경우에는 각자의 권리와 의무를 약정하여야 한다. 다만 그 약정은 개인이 그중 어느 개인정보처리자에게든 이 법상의 권리 행사를 요구하는 데 영향을 미치지 아니한다. 개인정보처리자가 개인정보를 공동으로 처리하여5 개인정보 권익을 침해하고 손해를 초래한 경우에는 법에 따라 연대책임을 부담한다.
第二十一条　个人信息处理者委托处理个人信息的，应当与受托人约定委托处理的目的、期限、处理方式、个人信息的种类、保护措施以及双方的权利和义务等，并对受托人的个人信息处理活动进行监督。 受托人应当按照约定处理个人信息，不得超出约定的处理目的、处理方式等处理个人信息；委托合同不生效、无效、被撤销或者终止的，受托人应当将个人信息返还个人信息处理者或者予以删除，不得保留。 未经个人信息处理者同意，受托人不得转委托他人处理个人信息。제21조　개인정보처리자가 개인정보 처리를 위탁하는 경우에는 수탁자와6 위탁처리의 목적·기간·방식, 개인정보의 종류, 보호조치 및 양 당사자의 권리·의무 등을 약정하고 수탁자의 개인정보 처리 활동을 감독하여야 한다. 수탁자는 약정에 따라 개인정보를 처리하여야 하며 약정한 처리 목적·방식 등의 범위를 벗어나 개인정보를 처리하여서는 아니 된다. 위탁계약의 효력이 발생하지 않거나 무효가 되거나 취소·종료된 경우, 수탁자는 개인정보를 개인정보처리자에게 반환하거나 삭제하여야 하며 이를 보존하여서는 아니 된다. 개인정보처리자의 동의 없이 수탁자는 타인에게 개인정보 처리를 재위탁하여서는 아니 된다.
第二十二条　个人信息处理者因合并、分立、解散、被宣告破产等原因需要转移个人信息的，应当向个人告知接收方的名称或者姓名和联系方式。接收方应当继续履行个人信息处理者的义务。接收方变更原先的处理目的、处理方式的，应当依照本法规定重新取得个人同意。제22조　개인정보처리자가 합병·분할·해산·파산선고 등의 사유로 개인정보를 이전할 필요가 있는 경우에는 개인정보를 이전받는 자의 명칭 또는 성명과 연락처를 개인에게 고지하여야 한다. 개인정보를 이전받은 자는 개인정보처리자의 의무를 계속 이행하여야 한다. 수령자가 종전의 처리 목적·방식을 변경하는 경우에는 이 법에 따라 개인의 동의를 다시 받아야 한다.
第二十三条　个人信息处理者向其他个人信息处理者提供其处理的个人信息的，应当向个人告知接收方的名称或者姓名、联系方式、处理目的、处理方式和个人信息的种类，并取得个人的单独同意。接收方应当在上述处理目的、处理方式和个人信息的种类等范围内处理个人信息。接收方变更原先的处理目的、处理方式的，应当依照本法规定重新取得个人同意。제23조　개인정보처리자가 자신이 처리한 개인정보를 다른 개인정보처리자에게 제공하는 경우에는 수령자의 명칭 또는 성명, 연락처, 처리 목적·방식 및 개인정보의 종류를 개인에게 고지하고 별도 동의를 받아야 한다. 수령자는 위 처리 목적·방식과 개인정보 종류 등의 범위 안에서 개인정보를 처리하여야 한다. 수령자가 종전의 처리 목적·방식을 변경하는 경우에는 이 법에 따라 개인의 동의를 다시 받아야 한다.
第二十四条　个人信息处理者利用个人信息进行自动化决策，应当保证决策的透明度和结果公平、公正，不得对个人在交易价格等交易条件上实行不合理的差别待遇。 通过自动化决策方式向个人进行信息推送、商业营销，应当同时提供不针对其个人特征的选项，或者向个人提供便捷的拒绝方式。 通过自动化决策方式作出对个人权益有重大影响的决定，个人有权要求个人信息处理者予以说明，并有权拒绝个人信息处理者仅通过自动化决策的方式作出决定。제24조　개인정보처리자가 개인정보를 이용하여 자동화된 의사결정을7 하는 경우에는 의사결정의 투명성과 결과의 공평성·공정성을 보장하고, 거래가격 등 거래조건에서 개인을 불합리하게 차별하여서는 아니 된다. 자동화된 의사결정 방식으로 개인에게 정보를 전송·추천하거나 상업적 마케팅을 하는 경우에는 개인의 특성에 기반하지 않은 선택사항을 함께 제공하거나 개인에게 편리한 거부방법을 제공하여야 한다. 자동화된 의사결정 방식으로 개인의 권익에 중대한 영향을 미치는 결정을 한 경우, 개인은 개인정보처리자에게 설명을 요구할 수 있으며 개인정보처리자가 자동화된 의사결정 방식만으로 결정을 내리는 것을 거부할 권리가 있다.
第二十五条　个人信息处理者不得公开其处理的个人信息，取得个人单独同意的除外。제25조　개인정보처리자는 개인의 별도 동의를 받은 경우를 제외하고 자신이 처리하는 개인정보를 공개하여서는 아니 된다.
第二十六条　在公共场所安装图像采集、个人身份识别设备，应当为维护公共安全所必需，遵守国家有关规定，并设置显著的提示标识。所收集的个人图像、身份识别信息只能用于维护公共安全的目的，不得用于其他目的；取得个人单独同意的除外。제26조　공공장소에 영상정보 수집장치와 개인식별장비를 설치하려면 공공의 안전을 유지하는 데 반드시 필요하여야 하고 국가의 관련 규정을 준수하여야 하며, 눈에 잘 띄는 안내표지를 설치하여야 한다. 수집한 개인 영상과 신원식별정보는 공공의 안전 유지 목적으로만 사용할 수 있으며 다른 목적으로 사용하여서는 아니 된다. 다만 개인의 별도 동의를 받은 경우는 제외한다.
第二十七条　个人信息处理者可以在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息；个人明确拒绝的除外。个人信息处理者处理已公开的个人信息，对个人权益有重大影响的，应当依照本法规定取得个人同意。제27조　개인정보처리자는 개인이 스스로 공개하였거나 그 밖에 이미 합법적으로 공개된 개인정보를 합리적인 범위에서 처리할 수 있다. 다만 개인이 명확히 거부한 경우는 제외한다. 공개된 개인정보의 처리가 개인의 권익에 중대한 영향을 미치는 경우에는 이 법에 따라 개인의 동의를 받아야 한다.
第二节 敏感个人信息的处理规则제2절 민감 개인정보 처리규칙
第二十八条　敏感个人信息是一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。 只有在具有特定的目的和充分的必要性，并采取严格保护措施的情形下，个人信息处理者方可处理敏感个人信息。제28조　민감 개인정보8란 유출되거나 불법으로 사용될 경우 자연인의 인격적 존엄이 침해되거나 신체·재산의 안전에 위해가 발생하기 쉬운 개인정보를 말하며, 생체인식·종교신앙·특정 신분·의료·건강·금융계좌·이동경로 등의 정보와 만 14세 미만 미성년자의 개인정보를 포함한다. 특정한 목적과 충분한 필요성이 있고 엄격한 보호조치를 취한 경우에만 개인정보처리자는 민감 개인정보를 처리할 수 있다.
第二十九条　处理敏感个人信息应当取得个人的单独同意；法律、行政法规规定处理敏感个人信息应当取得书面同意的，从其规定。제29조　민감 개인정보를 처리하려면 개인의 별도 동의를9 받아야 한다. 법률·행정법규가 서면 동의를 받도록 정한 경우에는 그 규정에 따른다.
第三十条　个人信息处理者处理敏感个人信息的，除本法第十七条第一款规定的事项外，还应当向个人告知处理敏感个人信息的必要性以及对个人权益的影响；依照本法规定可以不向个人告知的除外。제30조　개인정보처리자가 민감 개인정보를 처리하는 경우에는 이 법 제17조제1항의 사항 외에도 민감 개인정보 처리의 필요성과 개인의 권익에 미치는 영향을 개인에게 고지하여야 한다. 다만 이 법에 따라 고지하지 않을 수 있는 경우는 제외한다.
第三十一条　个人信息处理者处理不满十四周岁未成年人个人信息的，应当取得未成年人的父母或者其他监护人的同意。 个人信息处理者处理不满十四周岁未成年人个人信息的，应当制定专门的个人信息处理规则。제31조　개인정보처리자가 만 14세 미만 미성년자의 개인정보를 처리하는 경우에는 부모 또는 그 밖의 보호자의10 동의를 받아야 한다. 개인정보처리자는 만 14세 미만 미성년자의 개인정보를 처리하기 위한 별도의 개인정보 처리규칙을 제정하여야 한다.
第三十二条　法律、行政法规对处理敏感个人信息规定应当取得相关行政许可或者作出其他限制的，从其规定。제32조　법률·행정법규가 민감 개인정보 처리에 관련 행정허가를 받도록 하거나 그 밖의 제한을 둔 경우에는 그 규정에 따른다.
第三节 国家机关处理个人信息的特别规定제3절 국가기관의 개인정보 처리에 관한 특별규정
第三十三条　国家机关处理个人信息的活动，适用本法；本节有特别规定的，适用本节规定。제33조　국가기관의 개인정보 처리 활동에는 이 법을 적용한다. 이 절에 특별규정이 있는 경우에는 이 절의 규정을 적용한다.
第三十四条　国家机关为履行法定职责处理个人信息，应当依照法律、行政法规规定的权限、程序进行，不得超出履行法定职责所必需的范围和限度。제34조　국가기관이 법정 직무를 수행하기 위하여 개인정보를 처리하는 경우에는 법률·행정법규가 정한 권한과 절차에 따라야 하며, 법정 직무 수행에 필요한 범위와 한도를 초과하여서는 아니 된다.
第三十五条　国家机关为履行法定职责处理个人信息，应当依照本法规定履行告知义务；有本法第十八条第一款规定的情形，或者告知将妨碍国家机关履行法定职责的除外。제35조　국가기관이 법정 직무를 수행하기 위하여 개인정보를 처리하는 경우에는 이 법에 따라 고지의무를 이행하여야 한다. 다만 이 법 제18조제1항의 경우 또는 고지로 인하여 국가기관의 법정 직무 수행이 방해되는 경우는 제외한다.
第三十六条　国家机关处理的个人信息应当在中华人民共和国境内存储；确需向境外提供的，应当进行安全评估。安全评估可以要求有关部门提供支持与协助。제36조　국가기관이 처리하는 개인정보는 중화인민공화국 경내에 저장하여야 한다. 국외 제공이 반드시 필요한 경우에는 안전평가를 실시하여야 하며, 안전평가를 위하여 관계 부서에 지원과 협조를 요구할 수 있다.
第三十七条　法律、法规授权的具有管理公共事务职能的组织为履行法定职责处理个人信息，适用本法关于国家机关处理个人信息的规定。제37조　법률·법규에 따라 권한을 부여받아 공공사무 관리기능을 수행하는 조직이 법정 직무를 수행하기 위하여 개인정보를 처리하는 경우에는 국가기관의 개인정보 처리에 관한 이 법의 규정을 적용한다.
第三章 个人信息跨境提供的规则제3장 개인정보 국외제공 규칙
第三十八条　个人信息处理者因业务等需要，确需向中华人民共和国境外提供个人信息的，应当具备下列条件之一： （一）依照本法第四十条的规定通过国家网信部门组织的安全评估； （二）按照国家网信部门的规定经专业机构进行个人信息保护认证； （三）按照国家网信部门制定的标准合同与境外接收方订立合同，约定双方的权利和义务； （四）法律、行政法规或者国家网信部门规定的其他条件。 中华人民共和国缔结或者参加的国际条约、协定对向中华人民共和国境外提供个人信息的条件等有规定的，可以按照其规定执行。 个人信息处理者应当采取必要措施，保障境外接收方处理个人信息的活动达到本法规定的个人信息保护标准。제38조　개인정보처리자가 업무상 필요 등으로 개인정보를 국외에 제공할 필요가 있는 경우에는 다음 각 호의 어느 하나에 해당하는 요건을 갖추어야 한다. (1) 이 법 제40조에 따라 국가 인터넷정보 주무부서가11 조직한 안전평가를 통과할 것 (2) 국가 인터넷정보 주무부서의 규정에 따라 전문기관의 개인정보 보호 인증을 받을 것 (3) 국가 인터넷정보 주무부서가 제정한 표준계약에 따라 국외 수령자와12 계약을 체결하고 양 당사자의 권리·의무를 약정할 것 (4) 법률·행정법규 또는 국가 인터넷정보 주무부서가 정한 그 밖의 조건을 갖출 것 중화인민공화국이 체결하거나 가입한 국제조약·협정이 중화인민공화국 경외에 개인정보를 제공하는 조건 등을 정한 경우에는 그 규정에 따라 이행할 수 있다. 개인정보처리자는 필요한 조치를 취하여 국외 수령자의 개인정보 처리 활동이 이 법에서 정한 개인정보 보호기준에 부합하도록 보장하여야 한다.
第三十九条　个人信息处理者向中华人民共和国境外提供个人信息的，应当向个人告知境外接收方的名称或者姓名、联系方式、处理目的、处理方式、个人信息的种类以及个人向境外接收方行使本法规定权利的方式和程序等事项，并取得个人的单独同意。제39조　개인정보처리자가 개인정보를 국외에 제공하는 경우에는 국외 수령자의 명칭 또는 성명, 연락처, 처리 목적·방식, 개인정보의 종류 및 개인이 국외 수령자에게 이 법상의 권리를 행사하는 방법·절차 등을 개인에게 고지하고 별도 동의를 받아야 한다.
第四十条　关键信息基础设施运营者和处理个人信息达到国家网信部门规定数量的个人信息处理者，应当将在中华人民共和国境内收集和产生的个人信息存储在境内。确需向境外提供的，应当通过国家网信部门组织的安全评估；法律、行政法规和国家网信部门规定可以不进行安全评估的，从其规定。제40조　주요정보기반시설13 운영자와 국가 인터넷정보 주무부서가 정한 수량 이상의 개인정보를 처리하는 개인정보처리자는 중화인민공화국 경내에서 수집·생성한 개인정보를 경내에 저장하여야 한다. 국외 제공이 반드시 필요한 경우에는 국가 인터넷정보 주무부서가 조직한 안전평가를 통과하여야 한다. 다만 법률·행정법규 또는 국가 인터넷정보 주무부서가 안전평가를 하지 않아도 된다고 정한 경우에는 그 규정에 따른다.
第四十一条　中华人民共和国主管机关根据有关法律和中华人民共和国缔结或者参加的国际条约、协定，或者按照平等互惠原则，处理外国司法或者执法机构关于提供存储于境内个人信息的请求。非经中华人民共和国主管机关批准，个人信息处理者不得向外国司法或者执法机构提供存储于中华人民共和国境内的个人信息。제41조　중화인민공화국 주무기관은 관련 법률 및 중화인민공화국이 체결하거나 가입한 국제조약·협정에 따라, 또는 평등·호혜의 원칙에 따라 외국 사법기관 또는 법집행기관이 제기한 경내 저장 개인정보의 제공 요청을 처리한다. 개인정보처리자는 중화인민공화국 주무기관의 승인을 받지 아니하고는 중화인민공화국 경내에 저장된 개인정보를 외국 사법기관 또는 법집행기관에 제공하여서는 아니 된다.
第四十二条　境外的组织、个人从事侵害中华人民共和国公民的个人信息权益，或者危害中华人民共和国国家安全、公共利益的个人信息处理活动的，国家网信部门可以将其列入限制或者禁止个人信息提供清单，予以公告，并采取限制或者禁止向其提供个人信息等措施。제42조　경외의 조직·개인이 중화인민공화국 공민의 개인정보 권익을 침해하거나 중화인민공화국의 국가안전·공공이익을 해치는 개인정보 처리 활동을 하는 경우, 국가 인터넷정보 주무부서는 그 조직·개인을 개인정보 제공 제한·금지 명단에 올려 공고하고 그에 대한 개인정보 제공을 제한하거나 금지하는 등의 조치를 취할 수 있다.
第四十三条　任何国家或者地区在个人信息保护方面对中华人民共和国采取歧视性的禁止、限制或者其他类似措施的，中华人民共和国可以根据实际情况对该国家或者地区对等采取措施。제43조　어떠한 국가 또는 지역이 개인정보 보호 분야에서 중화인민공화국에 차별적인 금지·제한 또는 그 밖의 유사한 조치를 취하는 경우, 중화인민공화국은 실제 상황에 따라 해당 국가 또는 지역에 상응하는 조치를 취할 수 있다.
第四章 个人在个人信息处理活动中的权利제4장 개인정보 처리 활동에서 개인의 권리
第四十四条　个人对其个人信息的处理享有知情权、决定权，有权限制或者拒绝他人对其个人信息进行处理；法律、行政法规另有规定的除外。제44조　개인은 자신의 개인정보 처리에 관하여 알 권리와 결정권을 가지며, 타인이 자신의 개인정보를 처리하는 것을 제한하거나 거부할 권리가 있다. 다만 법률·행정법규에 달리 정함이 있는 경우는 제외한다.
第四十五条　个人有权向个人信息处理者查阅、复制其个人信息；有本法第十八条第一款、第三十五条规定情形的除外。 个人请求查阅、复制其个人信息的，个人信息处理者应当及时提供。 个人请求将个人信息转移至其指定的个人信息处理者，符合国家网信部门规定条件的，个人信息处理者应当提供转移的途径。제45조　개인은 개인정보처리자에게 자신의 개인정보를 열람·복제할 권리가 있다. 다만 이 법 제18조제1항 또는 제35조의 경우는 제외한다. 개인이 자신의 개인정보 열람·복제를 요청한 경우 개인정보처리자는 지체 없이 이를 제공하여야 한다. 개인이 자신이 지정한 개인정보처리자에게 개인정보를 이전하도록 요청하고 국가 인터넷정보 주무부서가 정한 조건에 부합하는 경우, 개인정보처리자는 개인정보를 이전할 수 있는 수단을 제공하여야 한다.
第四十六条　个人发现其个人信息不准确或者不完整的，有权请求个人信息处理者更正、补充。 个人请求更正、补充其个人信息的，个人信息处理者应当对其个人信息予以核实，并及时更正、补充。제46조　개인이 자신의 개인정보가 부정확하거나 불완전함을 발견한 경우에는 개인정보처리자에게 정정·보완을 요청할 권리가 있다. 개인이 개인정보의 정정·보완을 요청한 경우 개인정보처리자는 해당 개인정보를 확인하고 지체 없이 정정·보완하여야 한다.
第四十七条　有下列情形之一的，个人信息处理者应当主动删除个人信息；个人信息处理者未删除的，个人有权请求删除： （一）处理目的已实现、无法实现或者为实现处理目的不再必要； （二）个人信息处理者停止提供产品或者服务，或者保存期限已届满； （三）个人撤回同意； （四）个人信息处理者违反法律、行政法规或者违反约定处理个人信息； （五）法律、行政法规规定的其他情形。 法律、行政法规规定的保存期限未届满，或者删除个人信息从技术上难以实现的，个人信息处理者应当停止除存储和采取必要的安全保护措施之外的处理。제47조　다음 각 호의 어느 하나에 해당하는 경우 개인정보처리자는 개인의 요청이 없어도 개인정보를 삭제하여야 하며, 삭제하지 아니한 경우에는 개인이 삭제를 요청할 권리가 있다. (1) 처리 목적이 이미 달성되었거나 달성할 수 없거나 처리 목적 달성에 더 이상 필요하지 않은 경우 (2) 개인정보처리자가 제품 또는 서비스 제공을 중단하였거나 보존기간이 만료된 경우 (3) 개인이 동의를 철회한 경우 (4) 개인정보처리자가 법률·행정법규 또는 약정을 위반하여 개인정보를 처리한 경우 (5) 법률·행정법규가 정한 그 밖의 경우 법률·행정법규가 정한 보존기간이 만료되지 않았거나 기술적으로 개인정보 삭제가 어려운 경우, 개인정보처리자는 저장 및 필요한 안전보호조치 외의 처리를 중단하여야 한다.
第四十八条　个人有权要求个人信息处理者对其个人信息处理规则进行解释说明。제48조　개인은 개인정보처리자에게 개인정보 처리규칙에 대한 해석·설명을 요구할 권리가 있다.
第四十九条　自然人死亡的，其近亲属为了自身的合法、正当利益，可以对死者的相关个人信息行使本章规定的查阅、复制、更正、删除等权利；死者生前另有安排的除外。제49조　자연인이 사망한 경우 그 가까운 친족은14 자신의 합법적·정당한 이익을 위하여 사망자의 관련 개인정보에 대하여 이 장에서 정한 열람·복제·정정·삭제 등의 권리를 행사할 수 있다. 다만 사망자가 생전에 달리 정한 경우는 제외한다.
第五十条　个人信息处理者应当建立便捷的个人行使权利的申请受理和处理机制。拒绝个人行使权利的请求的，应当说明理由。 个人信息处理者拒绝个人行使权利的请求的，个人可以依法向人民法院提起诉讼。제50조　개인정보처리자는 개인의 권리행사 신청을 편리하게 접수·처리하는 체계를 구축하여야 한다. 개인의 권리행사 요청을 거부하는 경우에는 그 이유를 설명하여야 한다. 개인정보처리자가 개인의 권리행사 요청을 거부한 경우, 개인은 법에 따라 인민법원에 소송을 제기할 수 있다.
第五章 个人信息处理者的义务제5장 개인정보처리자의 의무
第五十一条　个人信息处理者应当根据个人信息的处理目的、处理方式、个人信息的种类以及对个人权益的影响、可能存在的安全风险等，采取下列措施确保个人信息处理活动符合法律、行政法规的规定，并防止未经授权的访问以及个人信息泄露、篡改、丢失： （一）制定内部管理制度和操作规程； （二）对个人信息实行分类管理； （三）采取相应的加密、去标识化等安全技术措施； （四）合理确定个人信息处理的操作权限，并定期对从业人员进行安全教育和培训； （五）制定并组织实施个人信息安全事件应急预案； （六）法律、行政法规规定的其他措施。제51조　개인정보처리자는 개인정보의 처리 목적·방식·종류, 개인의 권익에 미치는 영향 및 발생 가능한 보안 위험 등에 따라 다음 각 호의 조치를 취하여 개인정보 처리 활동이 법률·행정법규에 부합하도록 하고, 권한 없는 접근과 개인정보의 유출·변조·분실을 방지하여야 한다. (1) 내부 관리제도와 운영절차를 마련할 것 (2) 개인정보를 분류하여 관리할 것 (3) 암호화·비식별화15 등 필요한 안전기술조치를 취할 것 (4) 개인정보 처리 권한을 합리적으로 정하고 종사자에게 정기적으로 안전교육·훈련을 실시할 것 (5) 개인정보 보안사고 비상대응계획을 수립하고 그 시행을 조직할 것 (6) 법률·행정법규에서 정한 그 밖의 조치를 취할 것
第五十二条　处理个人信息达到国家网信部门规定数量的个人信息处理者应当指定个人信息保护负责人，负责对个人信息处理活动以及采取的保护措施等进行监督。 个人信息处理者应当公开个人信息保护负责人的联系方式，并将个人信息保护负责人的姓名、联系方式等报送履行个人信息保护职责的部门。제52조　국가 인터넷정보 주무부서가 정한 수량 이상의 개인정보를 처리하는 개인정보처리자는 개인정보 보호책임자를16 지정하여 개인정보 처리 활동 및 보호조치 등을 감독하게 하여야 한다. 개인정보처리자는 개인정보 보호책임자의 연락처를 공개하고 그 성명·연락처 등을 개인정보 보호 담당 부서에 제출하여야 한다.
第五十三条　本法第三条第二款规定的中华人民共和国境外的个人信息处理者，应当在中华人民共和国境内设立专门机构或者指定代表，负责处理个人信息保护相关事务，并将有关机构的名称或者代表的姓名、联系方式等报送履行个人信息保护职责的部门。제53조　이 법 제3조제2항에서 정한 중화인민공화국 경외의 개인정보처리자는 중화인민공화국 경내에 전담기관을 설치하거나 대표자를 지정하여 개인정보 보호 관련 사무를 처리하게 하고, 그 기관의 명칭 또는 대표자의 성명·연락처 등을 개인정보 보호 담당 부서에 제출하여야 한다.
第五十四条　个人信息处理者应当定期对其处理个人信息遵守法律、行政法规的情况进行合规审计。제54조　개인정보처리자는 개인정보 처리에 관한 법률·행정법규의 준수 여부에 대하여 정기적으로 준법감사를 실시하여야 한다.17
第五十五条　有下列情形之一的，个人信息处理者应当事前进行个人信息保护影响评估，并对处理情况进行记录： （一）处理敏感个人信息； （二）利用个人信息进行自动化决策； （三）委托处理个人信息、向其他个人信息处理者提供个人信息、公开个人信息； （四）向境外提供个人信息； （五）其他对个人权益有重大影响的个人信息处理活动。제55조　다음 각 호의 어느 하나에 해당하는 경우 개인정보처리자는 사전에 개인정보 보호 영향평가를18 실시하고 처리상황을 기록하여야 한다. (1) 민감 개인정보를 처리하는 경우 (2) 개인정보를 이용하여 자동화된 의사결정을 하는 경우 (3) 개인정보 처리를 위탁하거나 다른 개인정보처리자에게 개인정보를 제공하거나 개인정보를 공개하는 경우 (4) 개인정보를 국외에 제공하는 경우 (5) 그 밖에 개인의 권익에 중대한 영향을 미치는 개인정보 처리 활동을 하는 경우
第五十六条　个人信息保护影响评估应当包括下列内容： （一）个人信息的处理目的、处理方式等是否合法、正当、必要； （二）对个人权益的影响及安全风险； （三）所采取的保护措施是否合法、有效并与风险程度相适应。 个人信息保护影响评估报告和处理情况记录应当至少保存三年。제56조　개인정보 보호 영향평가에는 다음 사항이 포함되어야 한다. (1) 개인정보 처리 목적·방식 등이 합법적이고 정당하며 필요한지 여부 (2) 개인의 권익에 미치는 영향 및 보안 위험 (3) 취한 보호조치가 합법적·유효하고 위험 정도에 상응하는지 여부 개인정보 보호 영향평가보고서와 처리상황 기록은 최소 3년간 보존하여야 한다.
第五十七条　发生或者可能发生个人信息泄露、篡改、丢失的，个人信息处理者应当立即采取补救措施，并通知履行个人信息保护职责的部门和个人。通知应当包括下列事项： （一）发生或者可能发生个人信息泄露、篡改、丢失的信息种类、原因和可能造成的危害； （二）个人信息处理者采取的补救措施和个人可以采取的减轻危害的措施； （三）个人信息处理者的联系方式。 个人信息处理者采取措施能够有效避免信息泄露、篡改、丢失造成危害的，个人信息处理者可以不通知个人；履行个人信息保护职责的部门认为可能造成危害的，有权要求个人信息处理者通知个人。제57조　개인정보의 유출·변조·분실이19 발생하였거나 발생할 가능성이 있는 경우, 개인정보처리자는 즉시 보완조치를 취하고 개인정보 보호 담당 부서와 개인에게 통지하여야 한다. 통지에는 다음 각 호의 사항이 포함되어야 한다. (1) 유출·변조·분실이 발생하였거나 발생할 가능성이 있는 개인정보의 종류, 원인 및 예상되는 위해 (2) 개인정보처리자가 취한 보완조치 및 개인이 위해를 줄이기 위하여 취할 수 있는 조치 (3) 개인정보처리자의 연락처 개인정보처리자가 조치를 취하여 유출·변조·분실로 인한 위해를 효과적으로 방지할 수 있는 경우에는 개인에게 통지하지 않을 수 있다. 다만 개인정보 보호 담당 부서가 위해 발생 가능성이 있다고 판단한 경우에는 개인정보처리자에게 해당 개인에게 통지할 것을 요구할 권리가 있다.
第五十八条　提供重要互联网平台服务、用户数量巨大、业务类型复杂的个人信息处理者，应当履行下列义务： （一）按照国家规定建立健全个人信息保护合规制度体系，成立主要由外部成员组成的独立机构对个人信息保护情况进行监督； （二）遵循公开、公平、公正的原则，制定平台规则，明确平台内产品或者服务提供者处理个人信息的规范和保护个人信息的义务； （三）对严重违反法律、行政法规处理个人信息的平台内的产品或者服务提供者，停止提供服务； （四）定期发布个人信息保护社会责任报告，接受社会监督。제58조　중요 인터넷 플랫폼 서비스를 제공하고 이용자 수가 매우 많으며 업무 유형이 복잡한 개인정보처리자는 다음 각 호의 의무를 이행하여야 한다. (1) 국가의 규정에 따라 개인정보 보호 준법체계를 구축·정비하고, 주로 외부 구성원으로 이루어진 독립기관을 설치하여 개인정보 보호 현황을 감독하게 할 것 (2) 공개·공평·공정의 원칙에 따라 플랫폼 규칙을 제정하고, 플랫폼 내 제품·서비스 제공자가 준수하여야 할 개인정보 처리규범과 개인정보 보호 의무를 명확히 할 것 (3) 법률·행정법규를 중대하게 위반하여 개인정보를 처리한 플랫폼 내 제품·서비스 제공자에 대한 서비스 제공을 중단할 것 (4) 개인정보 보호 사회적 책임 보고서를 정기적으로 발표하고 사회의 감독을 받을 것
第五十九条　接受委托处理个人信息的受托人，应当依照本法和有关法律、行政法规的规定，采取必要措施保障所处理的个人信息的安全，并协助个人信息处理者履行本法规定的义务。제59조　개인정보 처리를 위탁받은 수탁자는 이 법과 관련 법률·행정법규에 따라 필요한 조치를 취하여 처리하는 개인정보의 안전을 보장하고, 개인정보처리자가 이 법상의 의무를 이행하도록 협조하여야 한다.
第六章 履行个人信息保护职责的部门제6장 개인정보 보호 담당 부서
第六十条　国家网信部门负责统筹协调个人信息保护工作和相关监督管理工作。国务院有关部门依照本法和有关法律、行政法规的规定，在各自职责范围内负责个人信息保护和监督管理工作。 县级以上地方人民政府有关部门的个人信息保护和监督管理职责，按照国家有关规定确定。 前两款规定的部门统称为履行个人信息保护职责的部门。제60조　국가 인터넷정보 주무부서는 개인정보 보호 업무와 그 감독·관리 업무를 총괄·조정한다. 국무원 관계 부서는 이 법 및 관계 법률·행정법규에 따라 각자의 소관 범위에서 개인정보 보호 및 감독·관리 업무를 담당한다. 현급 이상 지방인민정부 관계 부서의 개인정보 보호 및 감독·관리 업무는 국가의 관련 규정에 따라 정한다. 앞의 두 항에서 정한 부서를 통틀어 개인정보 보호 담당 부서라 한다.
第六十一条　履行个人信息保护职责的部门履行下列个人信息保护职责： （一）开展个人信息保护宣传教育，指导、监督个人信息处理者开展个人信息保护工作； （二）接受、处理与个人信息保护有关的投诉、举报； （三）组织对应用程序等个人信息保护情况进行测评，并公布测评结果； （四）调查、处理违法个人信息处理活动； （五）法律、行政法规规定的其他职责。제61조　개인정보 보호 담당 부서는 다음 각 호의 개인정보 보호 직무를 수행한다. (1) 개인정보 보호에 관한 홍보·교육을 실시하고 개인정보처리자의 개인정보 보호 업무를 지도·감독할 것 (2) 개인정보 보호에 관한 민원20·신고를 접수·처리할 것 (3) 애플리케이션 등의 개인정보 보호 현황을 평가하도록 하고 그 결과를 공표할 것 (4) 위법한 개인정보 처리 활동을 조사·처리할 것 (5) 법률·행정법규에서 정한 그 밖의 직무를 수행할 것
第六十二条　国家网信部门统筹协调有关部门依据本法推进下列个人信息保护工作： （一）制定个人信息保护具体规则、标准； （二）针对小型个人信息处理者、处理敏感个人信息以及人脸识别、人工智能等新技术、新应用，制定专门的个人信息保护规则、标准； （三）支持研究开发和推广应用安全、方便的电子身份认证技术，推进网络身份认证公共服务建设； （四）推进个人信息保护社会化服务体系建设，支持有关机构开展个人信息保护评估、认证服务； （五）完善个人信息保护投诉、举报工作机制。제62조　국가 인터넷정보 주무부서는 관계 부서가 이 법에 따라 다음 각 호의 개인정보 보호 업무를 추진하도록 총괄·조정한다. (1) 개인정보 보호 세부규칙·표준을 제정할 것 (2) 소규모 개인정보처리자, 민감 개인정보의 처리 및 얼굴인식·인공지능 등 신기술·신규 응용을 대상으로 하는 별도의 개인정보 보호규칙·표준을 제정할 것 (3) 안전하고 편리한 전자신원인증 기술의 연구·개발과 보급·활용을 지원하고 네트워크 신원인증 공공서비스의 구축을 추진할 것 (4) 개인정보 보호 민간 전문서비스 체계의21 구축을 추진하고 관계기관이 개인정보 보호 평가·인증 서비스를 제공하도록 지원할 것 (5) 개인정보 보호 민원·신고 업무체계를 정비할 것
第六十三条　履行个人信息保护职责的部门履行个人信息保护职责，可以采取下列措施： （一）询问有关当事人，调查与个人信息处理活动有关的情况； （二）查阅、复制当事人与个人信息处理活动有关的合同、记录、账簿以及其他有关资料； （三）实施现场检查，对涉嫌违法的个人信息处理活动进行调查； （四）检查与个人信息处理活动有关的设备、物品；对有证据证明是用于违法个人信息处理活动的设备、物品，向本部门主要负责人书面报告并经批准，可以查封或者扣押。 履行个人信息保护职责的部门依法履行职责，当事人应当予以协助、配合，不得拒绝、阻挠。제63조　개인정보 보호 담당 부서는 그 직무를 수행할 때 다음 조치를 취할 수 있다. (1) 관계 당사자에게 질의하여 개인정보 처리 활동과 관련된 상황을 조사하는 것 (2) 당사자의 개인정보 처리 활동 관련 계약·기록·장부 및 그 밖의 자료를 열람·복제하는 것 (3) 현장검사를 실시하고 위법 혐의가 있는 개인정보 처리 활동을 조사하는 것 (4) 개인정보 처리 활동 관련 설비·물품을 검사하고, 위법한 개인정보 처리 활동에 사용되었다는 증거가 있는 설비·물품은 해당 부서 주요 책임자에게 서면으로 보고하여 승인을 받은 후 봉인하거나 압류하는 것 개인정보 보호 담당 부서가 법에 따라 직무를 수행할 때 당사자는 협조하여야 하며 거부·방해하여서는 아니 된다.
第六十四条　履行个人信息保护职责的部门在履行职责中，发现个人信息处理活动存在较大风险或者发生个人信息安全事件的，可以按照规定的权限和程序对该个人信息处理者的法定代表人或者主要负责人进行约谈，或者要求个人信息处理者委托专业机构对其个人信息处理活动进行合规审计。个人信息处理者应当按照要求采取措施，进行整改，消除隐患。 履行个人信息保护职责的部门在履行职责中，发现违法处理个人信息涉嫌犯罪的，应当及时移送公安机关依法处理。제64조　개인정보 보호 담당 부서가 업무를 수행하면서 개인정보 처리 활동에 상당한 위험이 있거나 개인정보 보안사고이 발생한 사실을 발견한 경우에는 정해진 권한과 절차에 따라 해당 개인정보처리자의 법정대표자 또는 주요 책임자와 면담하거나22, 개인정보처리자에게 전문기관에 위탁하여 개인정보 처리 활동에 대한 준법감사를 실시하도록 요구할 수 있다. 개인정보처리자는 요구에 따라 시정조치를 취하여 잠재적 위험을 제거하여야 한다. 개인정보 보호 담당 부서가 업무 수행 중 위법한 개인정보 처리에 범죄 혐의가 있음을 발견한 경우에는 지체 없이 공안기관에 이송하여 법에 따라 처리하게 하여야 한다.
第六十五条　任何组织、个人有权对违法个人信息处理活动向履行个人信息保护职责的部门进行投诉、举报。收到投诉、举报的部门应当依法及时处理，并将处理结果告知投诉、举报人。 履行个人信息保护职责的部门应当公布接受投诉、举报的联系方式。제65조　모든 조직과 개인은 위법한 개인정보 처리 활동에 대하여 개인정보 보호 담당 부서에 민원을 제기하거나 신고할 권리가 있다. 민원·신고를 접수한 부서는 법에 따라 지체 없이 처리하고 그 결과를 민원인·신고인에게 고지하여야 한다. 개인정보 보호 담당 부서는 민원·신고 접수 연락처를 공표하여야 한다.
第七章 法律责任제7장 법적 책임
第六十六条　违反本法规定处理个人信息，或者处理个人信息未履行本法规定的个人信息保护义务的，由履行个人信息保护职责的部门责令改正，给予警告，没收违法所得，对违法处理个人信息的应用程序，责令暂停或者终止提供服务；拒不改正的，并处一百万元以下罚款；对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款。 有前款规定的违法行为，情节严重的，由省级以上履行个人信息保护职责的部门责令改正，没收违法所得，并处五千万元以下或者上一年度营业额百分之五以下罚款，并可以责令暂停相关业务或者停业整顿、通报有关主管部门吊销相关业务许可或者吊销营业执照；对直接负责的主管人员和其他直接责任人员处十万元以上一百万元以下罚款，并可以决定禁止其在一定期限内担任相关企业的董事、监事、高级管理人员和个人信息保护负责人。제66조　이 법을 위반하여 개인정보를 처리하거나 개인정보를 처리하면서 이 법에서 정한 개인정보 보호 의무를 이행하지 아니한 경우, 개인정보 보호 담당 부서는 시정을 명하고 경고하며 위법소득을 몰수하고, 개인정보를 위법하게 처리한 애플리케이션에 대하여 서비스 제공을 일시 중지하거나 종료하도록 명한다. 시정을 거부한 경우에는 100만 위안 이하의 행정벌금을23 병과하고 직접 책임이 있는 관리책임자와 그 밖의 직접 책임자에게24 1만 위안 이상 10만 위안 이하의 행정벌금을 부과한다. 전항의 위법행위가 중대한 경우, 성급 이상 개인정보 보호 담당 부서는 시정을 명하고 위법소득을 몰수하며 5,000만 위안 이하 또는 전년도 매출액의 5% 이하의 행정벌금을 부과한다. 또한 관련 업무의 일시 정지 또는 영업정지 및 시정을 명하거나 관계 주무부서에 통보하여 관련 사업허가 또는 영업등록증25(营业执照)를 취소하게 할 수 있다. 직접 책임이 있는 관리책임자와 그 밖의 직접 책임자에게는 10만 위안 이상 100만 위안 이하의 행정벌금을 부과하고, 일정 기간 관련 기업의 이사·감사·고위관리자 및 개인정보 보호책임자를 맡지 못하도록 할 수 있다.
第六十七条　有本法规定的违法行为的，依照有关法律、行政法规的规定记入信用档案，并予以公示。제67조　이 법에서 정한 위법행위가 있는 경우에는 관련 법률·행정법규에 따라 신용기록에26 기재하고 이를 공시한다.
第六十八条　国家机关不履行本法规定的个人信息保护义务的，由其上级机关或者履行个人信息保护职责的部门责令改正；对直接负责的主管人员和其他直接责任人员依法给予处分。 履行个人信息保护职责的部门的工作人员玩忽职守、滥用职权、徇私舞弊，尚不构成犯罪的，依法给予处分。제68조　국가기관이 이 법에서 정한 개인정보 보호 의무를 이행하지 아니한 경우, 그 상급기관 또는 개인정보 보호 담당 부서는 시정을 명하고 직접 책임이 있는 관리책임자와 그 밖의 직접 책임자에게 법에 따라 징계처분한다27. 개인정보 보호 담당 부서의 직원이 직무를 태만히 하거나 직권을 남용하거나 사익을 위하여 부정행위를 하였으나 범죄를 구성하지 아니한 경우에는 법에 따라 징계처분한다.
第六十九条　处理个人信息侵害个人信息权益造成损害，个人信息处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任。 前款规定的损害赔偿责任按照个人因此受到的损失或者个人信息处理者因此获得的利益确定；个人因此受到的损失和个人信息处理者因此获得的利益难以确定的，根据实际情况确定赔偿数额。제69조　개인정보 처리로 개인정보 권익을 침해하여 손해가 발생하고 개인정보처리자가 자신에게 과실이 없음을 증명하지 못한 경우에는 손해배상 등 불법행위책임을 부담한다. 전항의 손해배상책임은 개인이 입은 손실 또는 개인정보처리자가 얻은 이익에 따라 확정한다. 개인의 손실과 개인정보처리자의 이익을 확정하기 어려운 경우에는 실제 상황에 따라 배상액을 정한다.
第七十条　个人信息处理者违反本法规定处理个人信息，侵害众多个人的权益的，人民检察院、法律规定的消费者组织和由国家网信部门确定的组织可以依法向人民法院提起诉讼。제70조　개인정보처리자가 이 법을 위반하여 개인정보를 처리함으로써 다수 개인의 권익을 침해한 경우, 인민검찰원, 법률에서 정한 소비자단체 및 국가 인터넷정보 주무부서가 지정한 조직은 법에 따라 인민법원에 소송을 제기할 수 있다28.
第七十一条　违反本法规定，构成违反治安管理行为的，依法给予治安管理处罚；构成犯罪的，依法追究刑事责任。제71조　이 법 위반이 치안관리 위반행위를 구성한 경우에는 법에 따라 치안관리처벌을 하고, 범죄를 구성한 경우에는 법에 따라 형사책임을 묻는다.
第八章 附则제8장 부칙
第七十二条　自然人因个人或者家庭事务处理个人信息的，不适用本法。 法律对各级人民政府及其有关部门组织实施的统计、档案管理活动中的个人信息处理有规定的，适用其规定。제72조　자연인이 개인적 또는 가정 내 사무를 위하여 개인정보를 처리하는 경우에는 이 법을 적용하지 아니한다. 법률이 각급 인민정부 및 관계 부서가 조직·실시하는 통계·기록물 관리 활동 중 개인정보 처리에 관하여 정한 경우에는 그 규정을 적용한다.
第七十三条　本法下列用语的含义： （一）个人信息处理者，是指在个人信息处理活动中自主决定处理目的、处理方式的组织、个人。 （二）自动化决策，是指通过计算机程序自动分析、评估个人的行为习惯、兴趣爱好或者经济、健康、信用状况等，并进行决策的活动。 （三）去标识化，是指个人信息经过处理，使其在不借助额外信息的情况下无法识别特定自然人的过程。 （四）匿名化，是指个人信息经过处理无法识别特定自然人且不能复原的过程。제73조　이 법에서 사용하는 다음 용어의 뜻은 다음과 같다. (1) 개인정보처리자란 개인정보 처리 활동에서 처리 목적과 방식을 독자적으로 결정하는 조직 또는 개인을 말한다. (2) 자동화된 의사결정이란 컴퓨터 프로그램을 통하여 개인의 행동 습관, 취미·기호 또는 경제·건강·신용 상태 등을 자동으로 분석·평가하고 의사결정을 하는 활동을 말한다. (3) 비식별화란 개인정보를 처리하여 추가 정보의 도움 없이는 특정 자연인을 식별할 수 없게 하는 과정을 말한다. (4) 익명화란 개인정보를 처리하여 특정 자연인을 식별할 수 없고 복원할 수도 없게 하는 과정을 말한다.
第七十四条　本法自2021年11月1日起施行。제74조　이 법은 2021년 11월 1일부터 시행한다.