关于 china-pipl
供团队评估中国《个人信息保护法》（PIPL）义务的合规参考技能。内容涵盖适用范围、处理依据、同意、敏感个人信息及跨境传输机制。
主要功能
- 01地域及域外适用范围
- 02处理依据与同意规则
- 03单独同意触发情形
- 04敏感个人信息要求
- 05跨境传输机制
适用场景
- 01评估处理活动是否适用 PIPL
- 02审查敏感信息的同意流程
- 03判断适用的跨境传输机制
安装
复制下面的命令，在终端中运行。
npx skills add https:/安装后在 Claude Code 中输入/china-pipl确认已加载。
包含的文件
除 SKILL.md 外，安装时一起下载的参考资料和脚本。
assets/template.mdreferences/standards.mdworkflows.mdscripts/process.py详细介绍
中国《个人信息保护法》合规
概述
《中华人民共和国个人信息保护法》（PIPL，个人信息保护法）于 2021 年 8 月 20 日由全国人民代表大会常务委员会通过，并于 2021 年 11 月 1 日生效。PIPL 是中国首部全面的国家级个人信息保护法律，与《网络安全法》（CSL，于 2017 年 6 月 1 日生效）和《数据安全法》（DSL，于 2021 年 9 月 1 日生效）共同构成中国的数据治理框架。
国家互联网信息办公室（CAC，国家互联网信息办公室）是主要监管机构，执法权由公安部、工业和信息化部（MIIT）以及各行业监管机构共同承担。
适用范围与域外适用
地域范围（第 3 条）
PIPL 适用于：
- 在中华人民共和国境内处理自然人的个人信息（第 3 条第 1 款）
- 在中华人民共和国境外处理中华人民共和国境内自然人的个人信息，且处理目的为：
- 向中华人民共和国境内的自然人提供产品或服务（第 3 条第 2 款第 1 项）
- 分析或评估中华人民共和国境内自然人的行为（第 3 条第 2 款第 2 项）
- 法律、行政法规规定的其他情形（第 3 条第 2 款第 3 项）
域外合规（第 53 条）
属于第 3 条第 2 款范围的境外个人信息处理者必须：
- 在中华人民共和国境内设立专门机构或指定代表，负责处理个人信息保护相关事务
- 向有关 CAC 部门报告该机构或代表的名称和联系方式
Zenith Global Enterprises 的实施情况：Zenith 已指定其上海办事处（Zenith Global Logistics (Shanghai) Co., Ltd）作为在中国境内的代表机构，并由当地数据保护经理担任指定联系人。
处理的合法依据（第 13 条）
| 依据 | PIPL 条款 | 主要要求 |
|---|---|---|
| 同意 | 第 13 条第 1 项 | 自愿、明确、知情；处理敏感个人信息、跨境传输和公开披露须取得单独同意 |
| 合同必要性 | 第 13 条第 2 项 | 为订立或履行个人作为一方当事人的合同所必需，或为依照依法制定的劳动规章制度实施人力资源管理所必需 |
| 法定职责或义务 | 第 13 条第 3 项 | 履行法定职责或义务所必需 |
| 公共卫生突发事件 | 第 13 条第 4 项 | 应对公共卫生突发事件，或在紧急情况下保护生命或财产所必需 |
| 公共利益活动 | 第 13 条第 5 项 | 在合理范围内为新闻报道、舆论监督或其他公共利益活动而处理 |
| 在依法公开的个人信息的合理范围内处理 | 第 13 条第 6 项 | 个人自行公开的信息或通过其他合法途径公开的信息 |
| 法律、行政法规规定的其他情形 | 第 13 条第 7 项 | 针对特定行业立法的兜底条款 |
与 GDPR 的主要区别：PIPL 不包含独立的合法利益依据。第 13 条第 6 项（处理依法公开的信息）是最接近的对应依据，但适用范围窄得多。
同意框架
一般同意要求（第 14–16 条）
| 要求 | 《个人信息保护法》条款 | 实施方式 |
|---|---|---|
| 自愿性 | 第 14 条 | 不得通过欺骗、胁迫或诱导取得同意；除非个人信息对提供服务而言必不可少，否则不得仅因个人拒绝同意而拒绝提供服务 |
| 知情性 | 第 14 条 | 个人必须在同意前获得充分告知；告知内容应符合第 17 条的规定 |
| 明确性 | 第 14 条 | 必须采取明确的肯定行动；预先勾选的选项或捆绑同意均不合规 |
| 撤回 | 第 15 条 | 个人有权撤回同意；处理者必须提供便捷的撤回机制；撤回不影响此前处理行为的合法性 |
| 单独同意 | 第 23、25、26、29、39 条 | 在特定高风险处理场景中必须取得单独同意（见下文） |
单独同意触发情形（单独同意）
《个人信息保护法》要求对以下处理活动取得单独同意（单独同意，dāndú tóngyì）——即独立于其他同意收集流程取得的同意：
| 触发情形 | 条款 | 适用情境 |
|---|---|---|
| 向其他处理者提供个人信息 | 第 23 条 | 处理者向其他处理者提供个人信息时 |
| 公开披露个人信息 | 第 25 条 | 处理者公开披露个人信息时 |
| 处理公共场所监控图像／个人身份信息 | 第 26 条 | 将通过公共场所收集的图像或个人身份信息用于公共安全以外的目的时 |
| 处理敏感个人信息 | 第 29 条 | 所有敏感个人信息处理均须取得单独同意，并告知处理的必要性及对个人权益的影响 |
| 跨境传输个人信息 | 第 39 条 | 国际传输须取得单独同意，并进行规定的告知 |
Zenith Global Enterprises 的实施方式：
- 同意管理平台针对每种触发情形配置独立的同意流程
- 客户注册流程包含单独的同意复选框，分别用于：(a) 主要服务处理；(b) 与物流合作伙伴共享数据；(c) 向总部跨境传输；(d) 信用评估（敏感个人信息）
- 员工同意流程包含单独的同意项，分别用于：(a) 跨境传输雇佣数据；(b) 背景调查（敏感个人信息）
敏感个人信息（第 28 条）
定义
敏感个人信息（敏感个人信息）是指一旦泄露或被非法使用，容易侵害自然人人格尊严或危害其人身、财产安全的个人信息，包括：
- 生物识别信息
- 宗教信仰
- 特定身份信息（包括身份证号码）
- 医疗健康信息
- 金融账户信息
- 行踪轨迹信息
- 不满 14 周岁未成年人的个人信息
处理要求（第 28–32 条）
| 要求 | 详情 |
|---|---|
| 单独同意 | 第 29 条：必须取得单独同意；法律、行政法规要求书面同意的，应取得书面同意 |
| 必要性说明 | 第 28 条：必须具有特定目的和充分必要性 |
| 影响评估 | 第 55 条：处理前必须开展个人信息保护影响评估（PIPIA） |
| 告知 | 第 30 条：告知个人处理的必要性及对其权益的影响；处理不满 14 周岁未成年人的个人信息，须取得其父母或监护人同意 |
| 最短保存期限 | 第 28 条：采取严格保护措施，并尽量缩短保存期限 |
Zenith Global Enterprises 敏感个人信息登记册
| 数据类型 | 分类 | 用途 | 同意类型 | PIPIA 参考编号 |
|---|---|---|---|---|
| 国家身份证号码（身份证号） | 特定身份 | 海关清关身份验证 | 单独书面同意 | PIPIA-CN-001 |
| 金融账户信息 | 金融 | 处理运费付款 | 单独同意 | PIPIA-CN-002 |
| 员工健康证明 | 医疗/健康 | 遵守职业安全规定 | 单独同意 | PIPIA-CN-003 |
| 配送车辆 GPS 追踪 | 位置追踪 | 为客户提供实时货运追踪 | 单独同意（司机） | PIPIA-CN-004 |
跨境传输机制（第 38—43 条）
三种强制机制
《个人信息保护法》规定了三种向中华人民共和国境外传输个人信息的主要机制，具体适用机制取决于处理者的规模和性质：
1. CAC 安全评估（第 40 条；CAC 办法自 2022 年 9 月 1 日起生效）
适用情形（出现以下任一情形即为强制要求）：
- 关键信息基础设施运营者（CIIO）向境外传输任何个人信息
- 处理 100 万人或以上个人信息的处理者
- 自上一年度 1 月 1 日起，累计向境外传输 10 万人或以上个人信息的处理者
- 自上一年度 1 月 1 日起，累计向境外传输 1 万人或以上敏感个人信息的处理者
流程：
- 开展自评估（个人信息保护影响评估）
- 通过省级 CAC 机构向 CAC 提交申请
- CAC 在 45 个工作日内完成评估（复杂情形可延长 15 个工作日）
- 评估结果自出具之日起有效期为 2 年，到期后可申请续期
Zenith Global Enterprises 的情况：由于 Zenith 在中国处理超过 10 万名客户和员工的个人信息，且累计向境外传输了超过 10 万人的个人信息，因此 CAC 安全评估是其必须采用的传输机制。
2. 跨境传输标准合同（第 38 条第 2 款；CAC 办法自 2023 年 6 月 1 日起生效）
适用情形（必须同时满足所有条件）：
- 处理者不是 CIIO
- 处理者处理的个人信息少于 100 万人
- 自上一年度 1 月 1 日起，累计跨境传输的个人信息涉及人数少于 10 万人
- 自上一年度 1 月 1 日起，累计跨境传输的敏感个人信息涉及人数少于 1 万人
流程：
- 开展个人信息保护影响评估
- 与境外接收方签署 CAC 发布的标准合同
- 在合同生效后 10 个工作日内，向省级 CAC 机构备案已签署的合同
标准合同的主要条款：
- 境外接收方的处理目的、范围和方式
- 境外接收方的数据保护义务
- 个人权利保护机制
- 救济措施和责任分配
- 终止条件
3. 个人信息保护认证（第 38 条第 3 款；TC260 规范自 2022 年 11 月起生效）
适用情形：
- 跨国集团内部跨境传输，或在受同一套个人信息保护政策约束的实体之间传输
- 符合标准合同门槛的处理者
流程：
- 处理者与境外接收方共同向经认可的认证机构提出申请
- 认证机构评估其是否符合《跨境处理活动认证规范》（TC260 规范）
- 认证有效期为 3 年，并接受年度监督审核
- 双方必须接受认证机构和 CAC 的监督
CAC 放宽措施（2024 年 3 月）
CAC 发布了《促进和规范数据跨境流动规定》（2024 年 3 月 22 日生效），其中规定了以下豁免情形：
| 豁免情形 | 条件 |
|---|---|
| 合同／人力资源管理所必需 | 跨境传输是订立或履行个人作为一方当事人的合同所必需，或是按照依法制定的劳动规章制度实施人力资源管理所必需 |
| 小规模传输 | 处理者预计在一年内向境外传输的个人信息少于 100,000 人（不含敏感个人信息） |
| 自由贸易区 | 从指定自由贸易区传输数据，但须遵守该区域的负面清单 |
重要提示：这些豁免不适用于 CIIO、重要数据传输，或超过规定阈值的传输。
Zenith Global Enterprises 跨境传输登记表
| 传输 ID | 流向 | 目的地 | 机制 | 数量 | 评估状态 |
|---|---|---|---|---|---|
| CBT-CN-001 | 客户物流数据 → 欧盟总部 | 德国 | CAC 安全评估 | 150,000+ 人 | 已批准（有效期至 2026 年 8 月） |
| CBT-CN-002 | 员工人力资源数据 → 区域人力资源部门 | 新加坡 | CAC 安全评估 | 2,500 名员工 | 已批准（有效期至 2026 年 8 月） |
| CBT-CN-003 | 供应商付款数据 → 财资部门 | 英国 | 标准合同（已备案） | 800 家供应商 | 已向上海 CAC 备案 |
| CBT-CN-004 | 货运追踪数据 → API 合作伙伴 | 日本 | 合同所必需豁免 | 50,000 人 | 已记录豁免依据 |
关键信息基础设施（CII）
PIPL 规定的 CIIO 义务
关键信息基础设施运营者（关键信息基础设施运营者，CIIO）须履行额外义务：
| 义务 | 法律依据 | 详情 |
|---|---|---|
| 数据本地化 | 第 40 条 | 在中华人民共和国境内运营过程中收集或产生的个人信息和重要数据必须在境内存储 |
| 出境安全评估 | 第 40 条 | 任何跨境传输均须进行 CAC 安全评估（无其他替代机制） |
| 年度安全评估 | CSL 第 38 条 | 每年进行网络安全评估并提交评估报告 |
| 数据安全负责人 | DSL 第 27 条 | 指定数据安全负责人 |
CII 行业认定
根据《关键信息基础设施安全保护条例》（2021 年 9 月 1 日生效），以下行业被认定为 CII：
- 公共通信和信息服务
- 能源
- 交通运输
- 水利
- 金融
- 公共服务
- 电子政务
- 国防科技工业
- 其他遭受破坏后可能危害国家安全、人民生活或公共利益的重要网络设施和信息系统
Zenith Global Enterprises 评估：作为一家物流公司，如果其系统遭受破坏后可能危害国家安全或公共利益，Zenith 可能被认定为交通运输行业的 CII。Zenith 正与相关行业主管部门（交通运输部）保持持续沟通，以了解 CII 认定状态。
个人信息保护影响评估（PIPIA）
PIPIA 强制触发情形（第 55 条）
| 触发情形 | 说明 |
|---|---|
| 处理敏感个人信息 | 任何敏感个人信息的处理（第 28 条） |
| 自动化决策 | 使用个人信息进行自动化决策（第 24 条） |
| 委托处理 | 委托第三方处理个人信息（第 21 条） |
| 跨境传输 | 向境外方提供个人信息（第 38 条） |
| 公开披露 | 公开披露个人信息（第 25 条） |
| 其他高影响处理 | 对个人权利产生重大影响的处理 |
PIPIA 内容（第 56 条）
| 要素 | 描述 |
|---|---|
| 合法性与正当性 | 处理目的、方式和范围是否合法、正当且必要 |
| 影响评估 | 评估对个人权利和利益的影响及风险等级 |
| 安全措施 | 采取的保护措施是否合法、有效且与风险相称 |
| 风险缓解 | 识别风险并提出缓解措施 |
PIPIA 留存期限
PIPIA 报告和处理记录必须至少留存 3 年（第 56 条）。
个人权利（第 44–50 条）
| 权利 | 条款 | Zenith Global Enterprises 的实施方式 |
|---|---|---|
| 知情权和决定权 | 第 44 条 | 在所有信息收集点提供简体中文隐私声明 |
| 限制或拒绝处理的权利 | 第 44 条 | 客户门户中提供退出机制；员工异议程序 |
| 访问和复制权 | 第 45 条 | 客户可通过账户自助导出数据；员工通过人力资源部门提出请求 |
| 可携带权 | 第 45(3) 条 | 将数据结构化导出至指定接收方（待 CAC 发布实施规则） |
| 更正和补充权 | 第 46 条 | 客户可在客户门户中自助更正；员工可通过人力资源系统办理 |
| 删除权 | 第 47 条 | 在以下情形触发自动删除工作流：目的实现、撤回同意、服务终止、违规处理 |
| 解释权 | 第 48 条 | 个人可请求解释个人信息处理规则；处理者必须及时答复 |
| 自动化决策相关权利 | 第 24 条 | 有权请求解释自动化决策；有权拒绝仅通过自动化方式作出的决定 |
| 已故人士亲属的权利 | 第 49 条 | 近亲属可代已故人士行使权利，但已故人士另有安排的除外 |
执法框架
行政处罚（第 66–69 条）
| 违规等级 | 组织处罚 | 个人处罚（直接责任人） |
|---|---|---|
| 一般违规 | 责令改正；警告；没收违法所得；暂停或终止相关应用；处以最高 100 万元人民币罚款 | 处以 1 万至 10 万元人民币罚款 |
| 严重违规 | 责令改正；没收违法所得；处以最高 5,000 万元人民币或上一年度营业收入 5% 的罚款；停业整顿；吊销营业执照 | 处以 10 万至 100 万元人民币罚款；在指定期限内禁止担任董事、监事、高级管理人员或 DPO |
执法行动
Didi Global CAC 调查（2021-2022）：
- CAC 于 2021 年 6 月滴滴出行在 NYSE 上市后，对其启动网络安全审查
- 调查认定滴滴违反了 CSL、DSL 和 PIPL，共计 16 项
- 最终处罚（2022 年 7 月）：罚款 80.26 亿元人民币（约合 12 亿美元），并对 CEO 和总裁各处以 100 万元人民币个人罚款
- 意义：中国金额最高的数据保护罚款；体现了 PIPL、CSL 和 DSL 执法工作的整合
SAMR/CAC 应用合规专项行动（2021-2025）：
- 定期开展执法专项行动，针对移动应用过度收集数据、捆绑同意及未提供删除机制等问题
- 数千款应用被应用商店下架或被要求整改
- Zenith Global Enterprises 应用合规：由外部机构每年审计；发现问题后 15 天内完成整改
合规计划结构
| 组件 | 详情 |
|---|---|
| 中国境内代表实体 | Zenith Global Logistics (Shanghai) Co., Ltd |
| 数据保护负责人（中国） | Li Wei，上海办公室信息安全总监 |
| PIPIA 计划 | 根据第 55 条，对所有触发情形强制开展 PIPIA；至少留存 3 年 |
| 跨境传输合规 | 主要数据流已通过 CAC 安全评估；低数据量数据流已备案标准合同 |
| 同意管理 | 平台已配置根据第 14、23、25、29、39 条获取一般同意和单独同意 |
| 培训 | 面向所有中国员工开展年度 PIPL 合规培训；面向数据处理岗位人员开展季度复训 |
| 事件响应 | 对影响 PI 安全的事件，须在 72 小时内向 CAC 通报；与总部事件响应团队协调处理 |