《草案》第三条规定法律的适用范围，以属地原则为基础，设定了特定情况下的域外适用效力，使得该法具有了"长臂管辖"的效果。除了在境内处理自然人个人信息的活动适用本法外，在境外处理境内自然人个人信息的活动，有下列情形之一的，也适用本法：（一) 以向境内自然人提供产品或者服务为目的；（二) 为分析、评估境内自然人的行为；（三) 法律、行政法规规定的其他情形。

该款关于境外处理境内自然人信息的法律适用，借鉴了GDPR第3条第2款[1]关于地域范围适用的规定，分别对应产品、服务提供和监控（Monitor）的要求。《草案》对"为分析、评估境内自然人的行为"作出了清晰的本地化描述，界定了境外组织、个人对于境内自然人信息的处理是否适用本法的判断标准，确立了个人信息保护制度中长臂管辖的基本要求。针对第二款的情形，《草案》第五十二条还进一步参考了GDPR第27条[2]的规定，即要求境外的个人信息处理者在境内设立专门机构或指定代表，并向履行个人信息保护职责的部门报送相关信息。

此外，《草案》第六十八条第一款借鉴了GDPR第2条第2款[3]的规定，从反面限缩了法律的适用范围，具体规定为："自然人因个人或者家庭事务而处理个人信息的，不适用本法"。《草案》第六十八条第二款规定的"各级人民政府及其有关部门组织实施的统计、档案管理活动"的情形，则借鉴了GDPR第5条[4]和第89条[5]的规定，个人信息处理活动是基于统计、档案管理的目的的，如法律有特别规定，应优先适用，属于特别法优先适用的情形。

作为全球化和数字化的伴随产物，跨境的数字活动呈现快速增长趋势，其产生的影响效果往往跨越地域，和国家安全、公共利益和个人权益密切相关。基于此，在有关网络空间和数字活动的立法中，比如《网络安全法》《数据安全法（征求意见稿）》和《出口管制法》[6]，设定域外适用效力会成为惯例。

《草案》规定了个人信息处理的七大基本原则：合法性原则（第五条）、目的明确原则（第六条）、最小必要原则（第六条）、公开透明原则（第七条）、准确性原则（第八条）、可问责性原则（第九条）、数据安全原则（第九条）。这七大原则与既往的相关法律法规一脉相承，又有新的突破，对比如下表：

点击图片查看大图

在参考《个人信息安全规范》的基础上，《草案》有选择性地参考了GDPR第5条第1款[7]的内容，增加了数据准确性原则的规定。

GDPR就处理个人数据设定了六项合法基础，而《网络安全法》仅将同意视为处理个人信息的唯一合法基础，这一苛刻的规定也是业界所诟病之处。《草案》延续《民法典》的规定，突破了《网络安全法》的限制，更深入地借鉴了GDPR关于合法基础的规定。

点击图片查看大图

通过上述对比可以看出，在《民法典》的基础上，《草案》将订立或履行合同所必需、保护自然人的重大利益以及公共利益纳入个人信息处理的合法基础的范围，结合疫情防控的现状，突出了突发公共卫生事件的规定。综合考虑国情和国外实践的难度，《草案》未加入正当利益这一合法基础。对于已公开的个人信息的利用，《草案》第二十八条在《民法典》合理处理规定的基础上另行作出规定，并未纳入合法基础中作为同意的例外存在。

在个人信息的保护实践和行政监管中，获得有效同意的标准，一直是颇具争议的问题。《草案》对于获取有效同意的标准，提出了具体要求：

• 应当由个人在充分知情的前提下，自愿、明确作出意思表示（第十四条）；

   

• 明知或应知处理未满十四周岁未成年人个人信息的，应取得其监护人的同意（第十五条）；

   

• 个人有权撤回其同意（第十六条）；除非是提供产品或服务所必需，否则不得以个人不同意或者撤回同意为由，拒绝提供产品或服务（第十七条）。

《草案》专门规定了此前未曾明确规定过的单独同意、书面同意的形式要求，需要满足该等特殊要求的情形如下：

点击图片查看大图

之前，《个人信息安全规范》等规范文件中仅仅出现了明示同意的要求。单独同意以及书面同意实质上为个人信息处理者设置了更明确的"明示"要件，将对未来的合规实践产生深远的影响。

同意的相关要求与合法性原则有关，而个人信息处理规则与公开透明原则有关。在实践中，二者在提供产品或服务所必须的情形下可能会适用同一套授权文本，但实质上是两部分要求。对于公开明示个人信息处理规则的要求，相较于其他法案，《草案》明确地规定了存在保密等法定要求无需告知的情形以及紧急情况消除后予以告知的情形（第十九条），再次体现了合法性原则和公开透明原则两部分合规要求的区别。

与GDPR区分控制者[8]和处理者[9]所不同的是，《草案》遵循《民法典》的设定，仅规定了个人信息处理者。个人信息处理者是指自主决定处理目的、处理方式等个人信息处理事项的组织、个人（第六十九条）。《草案》对个人信息处理活动中的角色均按照行为特征进行描述。

针对在个人信息处理活动中各方的责任承担，其与GDPR的对比如下。

点击图片查看大图

通过以上对比我们可以得知，《草案》对共同决定处理目的和方式以及委托处理个人信息的规定，与GDPR所规定的共同控制者和处理者的义务基本一致。《草案》实质上延续了《个人信息安全规范》中对于共同个人信息控制者[10]和委托处理[11]的规定。但是，区别于《个人信息安全规范》的细致性规定，《草案》以一种更为洗练、简明的方式设定了数据处理各方的义务边界。

此外，《草案》参考《网络安全法》第四十二条[12]和《民法典》第一千零三十八条[13]的规定，对于向第三方提供个人信息的行为，要求个人信息处理者应当告知并取得单独同意，接收方应当遵守目的限制原则，并且不得采用技术等手段重新识别已采取匿名化处理的个人身份（第二十四条）。《草案》还借鉴了《个人信息安全规范》第9.3条[14]关于因合并、分立等原因变更个人信息处理者的规定（第二十三条）。

对于利用个人信息进行自动化决策的情形，考虑到新技术发展的趋势，《草案》第二十五条借鉴GDPR第22条[15]的规定，要求数据处理者保证决策的透明度和处理结果的公平合理。《草案》赋予了个人在认为自动化决策有重大影响的情况下，要求个人信息处理者予以说明并拒绝其仅通过自动化决策方式作出决定的权利。通过自动化决策方式进行商业营销、信息推送的情形在《电子商务法》第十八条[16]、《个人信息安全规范》第7.5条[17]中被规定为定向推送和个性化展示，其在《APP违法违规收集使用个人信息行为认定方法》第三点[18]中也有规定。《草案》第二十五条对上述规定进行了继承，要求个人信息处理者应当同时提供不针对其个人特征的选项。

对于个人信息公开问题，《草案》第二十六条规定，个人信息处理者除非取得单独同意或者法律法规另行规定，不得公开其处理的个人信息。对于已公开的个人信息的处理，《草案》第二十八条在《民法典》第一千零三十六条[19]的基础上更进一步，首次在法律层面规定了对于公开个人信息利用的基本规则，规定在处理时应符合个人信息被公开时的用途，如超出合理范围应依法向个人告知并取得其同意；当被公开的用途不明确时，应合理、谨慎地处理；如利用已公开的个人信息从事对个人有重大影响的活动，应当依法向个人告知并取得其同意。

已公开信息的收集和利用是大数据时代的重要数据来源，但合法利用边界一直不甚清晰，近年引起广泛争议的爬虫技术即为一例。《草案》第二十八条能否对此给出明确的指引，设定的条件是否过于苛刻而不利于大数据应用的发展，值得商榷。

结合近期国际社会对于限制各国公权力机构对于个人信息处理的呼声[20]，借鉴GDPR第2条第3款[21]等相关条款对于相关机构、实体适用的立法经验，《草案》特设专节对于国家机关处理个人信息进行规制。这一特别规定也回应了疫情期间民众对于政府的个人信息处理行为的疑虑。

《草案》第三十三条规定国家机关处理个人信息的行为应适用本法；国家机关应严格遵守法定权限、程序，并且不得超出法定职责所必需的范围和限度（第三十四条）；除非法律、法规规定应当保密或者将妨碍法定职责的履行，否则国家机关履职时如涉及处理个人信息，应按本法规定向个人告知并取得其同意（第三十五条）；除非法律、法规另有规定或者已取得同意，国家机关不得公开或者向他人提供个人信息（第三十六条）。

《草案》第三十七条规定了国家机关本地化存储个人信息的义务，以及如确需向境外提供个人信息，应进行风险评估的义务。

自《网络安全法》第三十七条[22]对于关键信息基础设施运营者的数据本地化义务和跨境传输义务进行规定之后，个人信息跨境提供的具体制度落地一直是立法机构和企业合规实践关注的焦点问题。《草案》从法律层面明确了个人信息跨境提供的基本规则，《草案》生效后将对个人信息跨境提供制度的落地起到极大的促进作用。

首先，就个人信息本地化存储义务，《草案》第四十条规定关键信息基础设施运营者和处理个人信息达到国家网信部门规定数量[23]的个人信息处理者，应当将在境内收集和产生的个人信息存储在境内。确需向境外提供的，应当通过国家网信部门组织的安全评估；法律、行政法规和国家网信部门规定可以不进行安全评估的，从其规定。该等设置一方面延续了《网络安全法》第三十七条项下保护国家安全和公共利益的基本要求，另一方面也赋予了行政机构和其他法律、法规针对敏感性不高的个人信息允许便利跨境提供的裁量空间。

其次，就个人信息跨境提供的条件，《草案》第三十八条规定有四种合法场景：国家网信部门组织的安全评估、经专业机构进行个人信息保护认证、与境外接收方订立合同及法律，以及行政法规或者国家网信部门规定的其他条件。较之之前的《个人信息出境安全评估办法（征求意见稿）》（"《安全评估办法》"），《草案》丰富了个人信息跨境提供的合法场景，便利企业的合规遵循。《草案》第三十九条提出了告知加单独同意的要求，取代了《安全评估办法》中的同意和针对个人敏感信息[24]的明示同意。

《草案》第四十一条针对因国际司法协助或行政执法协助的跨境个人信息提供，提出了申请批准的法定要求。《草案》第四十二条和第四十三条分别针对境外组织、个人的违法、危害国家安全、公共利益的行为，以及其他国家、地区的歧视性禁止、限制行为提出了明确的惩罚和反制措施。

《草案》首次全面规定了个人在个人信息处理活动中的九大法定权利。《草案》与《民法典》第一千零三十七条[25]及《个人信息安全规范》第8条[26]的有关规定相衔接，明确了在个人信息处理活动中个人的各项权利，包括知情权、决定权、限制和拒绝权（第四十四条）、查阅、复制权（第四十五条）、更正权（第四十六条）、删除权（第四十七条）、有权要求个人信息处理者说明个人信息处理规则（第四十八条），并要求个人信息处理者建立个人行使权利的申请受理和处理机制（第四十九条）。

上述《草案》规定的法定权利与GDPR以及《加利福尼亚州消费者隐私法》（"CCPA"）的对比如下：

点击图片查看大图

《草案》中赋予个人在个人信息处理活动中的权利与GDPR[30]和CCPA有一定的相似性。具体而言，知情权要求应在收到请求时对个人信息处理规则进行解释说明；决定权的权能与GDPR中的限制处理权及拒绝权相类似，但GDPR对数据主体权利行使的情形进行了更加细致的说明；查阅、复制权与GDPR和CCPA中的访问权基本对应；更正权、删除权与GDPR大体相同，但值得注意的是，《草案》还规定了个人信息在法律、法规规定保存期限未届满或无法删除时，个人信息处理者应对其停止处理；自动化决策相关的权利与GDPR基本一致。各国在个人信息保护法定权利设置方面的差异值得跨国公司深度关注。

参考GDPR关于控制者义务的规定，《草案》第五章明确了个人信息处理者的合规管理和保障个人信息安全等义务，要求其按照规定制定内部管理制度和操作规程，采取相应的安全技术措施（第五十条），并指定负责人对其个人信息处理活动进行监督（第五十一条），定期对其个人信息活动进行合规审计（第五十三条），对处理敏感个人信息、向境外提供个人信息等高风险处理活动，事前进行风险评估（第五十四条），履行个人信息泄露通知和补救义务等（第五十五条）。

其与GDPR、《个人信息安全规范》的对比具体如下。

点击图片查看大图

《草案》在罚则中，一方面承续了《网络安全法》第六十四条[31]处以一百万元以下罚款以及对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款的基本规定，另一方面规定了情节严重时高达五千万元以下或者上一年度营业额百分之五以下罚款，并可以责令暂停相关业务、停业整顿、通报有关主管部门吊销相关业务许可或者吊销营业执照；对直接负责的主管人员和其他直接责任人员处十万元以上一百万元以下罚款（第六十二条）。组织、个人的相关违法行为还会被记入信用档案并予以公示（第六十三条）。严厉的惩罚措施借鉴了GDPR[32]的监管思路，体现了监管机构整肃个人信息滥用风气，打造良好的个人信息保护生态的决心。

此外，《草案》还规定了"公益"诉讼制度，个人信息处理者违反本法规定处理个人信息，侵害众多个人的权益的，人民检察院、履行个人信息保护职责的部门和国家网信部门确定的组织可以依法向人民法院提起诉讼（第六十六条）。