中国个人信息保护法（PIPL）
ISMS Copilot 如何帮助您适用中国个人信息保护法：同意、敏感个人信息、第38条数据出境条件与个人权利请求。
《中华人民共和国个人信息保护法》（PIPL）是中国合规体系中个人信息层面的法律。ISMS Copilot 帮助您解读这部法律、起草它要求的文档，并完成数据出境分析，中文或英文均可。
2021年8月20日通过，2021年11月1日施行。共8章74条，由国家网信部门统筹协调、各部门依职责监管。官方文本：网信办转载的法律全文（核查于2026年10月）。本页面为文档支持，不构成法律意见。
这部法律覆盖什么
- 适用范围： 中国境内的个人信息处理活动；境外处理境内自然人个人信息、以向境内自然人提供产品或服务为目的或分析评估其行为的，同样适用（第3条）。这就是境外软件服务与 AI 服务商在没有中国实体的情况下也会落入适用范围的原因。
- 合法依据： 同意是主要依据，但第13条列出了其他依据（合同必要性、依劳动规章制度的人力资源管理、法定职责等）。敏感个人信息与出境提供需要单独同意。
- 敏感个人信息： 生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹，以及不满十四周岁未成年人的个人信息（第28至32条）。
- 自动化决策： 透明度、说明解释义务、拒绝仅通过自动化方式决策的权利，以及不合理的交易价格差别待遇的禁止（第24条）。
- 个人权利： 查阅、复制、可携带、更正、删除，以及死者近亲属的相关规则（第44至50条）。
- 处理者义务： 安全措施、达到规定数量的指定负责人、定期合规审计、留存三年的影响评估记录（第51至59条），以及境外处理者义务：在境内设立专门机构或指定代表（第53条）。
- 法律责任： 拒不改正最高可处100万元罚款；情节严重的最高可处5000万元或上一年度营业额5%的罚款，可责令停业、吊销许可；对直接负责人员最高可处100万元罚款（第66条）。
数据出境（第38至43条）
第38条规定了向境外提供个人信息的条件：网信办组织的安全评估、专业机构的个人信息保护认证、网信办标准合同，或法律、行政法规、网信办规定的其他条件，另有国际条约路径。《促进和规范数据跨境流动规定》（国家互联网信息办公室令第16号，2024年3月22日施行）设定了量化门槛与豁免：关键信息基础设施运营者向境外提供个人信息或重要数据、非关键信息基础设施运营者向境外提供重要数据，以及累计向境外提供100万人以上（不含敏感）或1万人以上敏感个人信息的处理者，须申报安全评估；10万至不满100万（不含敏感）或不满1万人敏感个人信息的，应订立标准合同或通过认证；不满10万人（不含敏感，仅限非关键信息基础设施运营者）、订立履行合同所必需、跨境人力资源管理、紧急情况等情形免予申报。官方文本： https://www.cac.gov.cn/2024-03/22/c_1712776611775634.htm （核查于2026年10月）。
如何调用 PIPL 语境
在提问中明确写出法律名称，助手才会按中国合规栈作答，而不是默认套用 GDPR 习惯。
不要这样问： "写一份隐私告知"
应该这样问： "为上海实体的员工数据写一份 PIPL 第17条的收集告知"
出境分析时： "我们每年向德国的集团人力资源平台传输30万名员工的个人信息，应走哪条路径？" 说明数据类别、数量以及是否涉及关键信息基础设施；助手会按第38条条件与《促进和规范数据跨境流动规定》的门槛逐步分析。
PIPL 并不是把条文重新编号后的 GDPR：两者的合法依据、单独同意的触发情形、境内代表义务与处罚模型都不相同。当您要求映射时，助手会按控制意图层面映射，并指出两个制度分歧之处。
PIPL 与中国合规栈其余部分的关系
网络安全法（2026年1月1日施行的修订版）规定网络运营者与等级保护义务；数据安全法规定数据管理与重要数据制度；PIPL 是其中的个人信息保护法律。多数中国合规项目需要三者并行，出境另加数据出境路径。参见在中国大陆使用 ISMS Copilot 与中国区域页面。