一、法规核心要点

1. 合法性基础（处理的“入口条件”）

2. 基本原则（贯穿全法）

• 不得“过度收集”
• 目的必须明确且合理
• 手段要“对个人影响最小”

3. 告知 + 同意机制（核心合规动作）

• 谁在处理（主体）
• 为何处理（目的）
• 怎么处理（方式）
• 处理什么（数据类型）
• 保存多久（期限）
• 个人行权方式和程序

• 隐私政策 ≠ 合规
• “告知是否具体 + 是否用户能看懂”是监管重点

4. 敏感个人信息（高风险区）

5. 自动化决策（算法合规）

• 要透明
• 不得价格歧视（典型：大数据杀熟）
• 必须提供非个性化选项和拒绝机制

6. 数据出境（跨境合规三路径）

• 安全评估（高风险/大体量）
• 标准合同（最常用）
• 认证机制

7. 个人权利体系（企业必须响应）

8. 企业合规义务（组织级责任）

二、监管逻辑

1. 监管目标

• 保护个人信息权益（人格权延伸）
• 规范数据要素流通
• 防止平台滥用数据权力

2. 监管重点

三、典型适用场景（结合业务）

场景1：APP产品（互联网产品）

• 是否存在“不同意就不能用”
• 是否强制授权敏感权限

场景2：AI产品（推荐/生成式AI）

• 模型训练数据来源是否合法
• 是否存在“黑箱决策”

场景3：数据出境（跨国公司）

• 是否触发安全评估
• 是否签署标准合同
• 是否做PIA（影响评估）

四、合规落地路径

Step 1：数据盘点

Step 2：合法性基础判断

Step 3：隐私政策重构

Step 4：权限与最小化改造

• 去掉不必要字段
• 关闭默认授权

Step 5：敏感信息专项治理

Step 6：建立数据主体权利响应机制

• 查阅/删除流程
• 响应时限（一般15天内）

Step 7：数据出境合规

Step 8：PIA（影响评估）机制

Step 9：持续合规

• 定期审计
• 员工培训

五、常见风险

1. 高频踩坑

2. 重点打击

• 数据买卖黑产

• 大数据杀熟

• 非法人脸识别

• 未经审批的数据出境