第13条
符合下列情形之一的，个人信息处理者方可处理个人信息： 依照本法其他有关规定，处理个人信息应当取得个人同意，但是有前款第二项至第七项规定情形的，不需取得个人同意。
（1）
取得个人的同意；
（2）
为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需；
（3）
为履行法定职责或者法定义务所必需；
（4）
为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需；
（5）
为公共利益实施新闻报道、舆论监督等行为，在合理的范围内处理个人信息；
（6）
依照本法规定在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息；
（7）
法律、行政法规规定的其他情形。
企业处理个人信息必须先获得个人同意，除非满足六种例外：签合同或管理必需、履行法定职责、应对公共卫生或紧急情况、公共利益报道监督、处理已公开信息，或其他法律情形。不符合这些就擅自处理，属于违法。
第14条
基于个人同意处理个人信息的，该同意应当由个人在充分知情的前提下自愿、明确作出。法律、行政法规规定处理个人信息应当取得个人单独同意或者书面同意的，从其规定。 个人信息的处理目的、处理方式和处理的个人信息种类发生变更的，应当重新取得个人同意。
处理个人信息前，企业必须让个人在充分知情后主动明确同意；若处理目的、方式或信息种类变更，得重新找人同意。不能暗地里用，改了情况不重新获得同意。
第15条
基于个人同意处理个人信息的，个人有权撤回其同意。个人信息处理者应当提供便捷的撤回同意的方式。 个人撤回同意，不影响撤回前基于个人同意已进行的个人信息处理活动的效力。
企业必须让用户能轻松撤回同意处理个人信息的决定，不能因用户撤回就拒绝提供已基于同意处理的服务，且需提供便捷的撤回渠道，撤回不影响之前的处理效力。
第16条
个人信息处理者不得以个人不同意处理其个人信息或者撤回同意为由，拒绝提供产品或者服务；处理个人信息属于提供产品或者服务所必需的除外。
企业不能因用户不同意或撤回信息处理就拒绝提供产品或服务，除非处理信息是该服务不可或缺的必需环节。
第17条
个人信息处理者在处理个人信息前，应当以显著方式、清晰易懂的语言真实、准确、完整地向个人告知下列事项： 前款规定事项发生变更的，应当将变更部分告知个人。 个人信息处理者通过制定个人信息处理规则的方式告知第一款规定事项的，处理规则应当公开，并且便于查阅和保存。
（1）
个人信息处理者的名称或者姓名和联系方式；
（2）
个人信息的处理目的、处理方式，处理的个人信息种类、保存期限；
（3）
个人行使本法规定权利的方式和程序；
（4）
法律、行政法规规定应当告知的其他事项。
处理个人信息前，企业必须显著清晰告知用户“我是谁、联系方式、用途、处理方式、信息类型、保存期限、用户权利怎么行使”，信息变更时要
第18条
个人信息处理者处理个人信息，有法律、行政法规规定应当保密或者不需要告知的情形的，可以不向个人告知前条第一款规定的事项。 紧急情况下为保护自然人的生命健康和财产安全无法及时向个人告知的，个人信息处理者应当在紧急情况消除后及时告知。
企业在法律明文规定需保密或无需告知时，可不告知个人信息处理事项；紧急情况下为保护生命健康财产安全无法及时告知的，必须在紧急消除后尽快告知。
第19条
除法律、行政法规另有规定外，个人信息的保存期限应当为实现处理目的所必要的最短时间。
企业保存个人信息必须设定“必要最短时间”，用完或目的达成后就得删，不能一直留着，目的没了就得及时删除或匿名化处理。
第20条
两个以上的个人信息处理者共同决定个人信息的处理目的和处理方式的，应当约定各自的权利和义务。但是，该约定不影响个人向其中任何一个个人信息处理者要求行使本法规定的权利。 个人信息处理者共同处理个人信息，侵害个人信息权益造成损害的，应当依法承担连带责任。
企业共同处理个人信息时，必须明确各方权责，不能互相推诿；个人可向任何一方行使法定权利，企业需对侵害承担连带责任，不能以内部约定为由拒绝。
第21条
个人信息处理者委托处理个人信息的，应当与受托人约定委托处理的目的、期限、处理方式、个人信息的种类、保护措施以及双方的权利和义务等，并对受托人的个人信息处理活动进行监督。 受托人应当按照约定处理个人信息，不得超出约定的处理目的、处理方式等处理个人信息；委托合同不生效、无效、被撤销或者终止的，受托人应当将个人信息返还个人信息处理者或者予以删除，不得保留。 未经个人信息处理者同意，受托人不得转委托他人处理个人信息。
企业委托处理个人信息时，必须和受托方明确处理目的、期限、方式等细节，并监督其行为；受托方只能按约定处理，不能超范围，合同终止后得删数据或返还，不能保留，也不能擅自转委托。
第22条
个人信息处理者因合并、分立、解散、被宣告破产等原因需要转移个人信息的，应当向个人告知接收方的名称或者姓名和联系方式。接收方应当继续履行个人信息处理者的义务。接收方变更原先的处理目的、处理方式的，应当依照本法规定重新取得个人同意。
个人信息处理者向其他个人信息处理者提供其处理的个人信息的，应当向个人告知接收方的名称或者姓名、联系方式、处理目的、处理方式和个人信息的种类，并取得个人的单独同意。接收方应当在上述处理目的、处理方式和个人信息的种类等范围内处理个人信息。
第23条
个人信息处理者向其他个人信息处理者提供其处理的个人信息的，应当向个人告知接收方的名称或者姓名、联系方式、处理目的、处理方式和个人信息的种类，并取得个人的单独同意。接收方应当在上述处理目的、处理方式和个人信息的种类等范围内处理个人信息。接收方变更原先的处理目的、处理方式的，应当依照本法规定重新取得个人同意。
企业把用户数据给第三方时，必须告诉用户对方是谁、用途、使用方式和数据类型，并单独获同意；第三方不能超原范围处理，改用途或方式需重新获同意。
第24条
个人信息处理者利用个人信息进行自动化决策，应当保证决策的透明度和结果公平、公正，不得对个人在交易价格等交易条件上实行不合理的差别待遇。 通过自动化决策方式向个人进行信息推送、商业营销，应当同时提供不针对其个人特征的选项，或者向个人提供便捷的拒绝方式。 通过自动化决策方式作出对个人权益有重大影响的决定，个人有权要求个人信息处理者予以说明，并有权拒绝个人信息处理者仅通过自动化决策的方式作出决定。
企业用算法自动做决定时，必须公平透明，不能对不同人搞差别定价；推送广告或营销时，得提供非个性化选择或让人能一键拒绝；如果决定影响个人权益大，企业得能解释原因，个人也能拒绝只靠算法拍板。
第25条
个人信息处理者不得公开其处理的个人信息，取得个人单独同意的除外。
企业不能随意公开个人信息，除非单独获得个人的明确同意。这意味着公开前必须征得个人单独授权，不能默认同意或批量处理。
第26条
在公共场所安装图像采集、个人身份识别设备，应当为维护公共安全所必需，遵守国家有关规定，并设置显著的提示标识。所收集的个人图像、身份识别信息只能用于维护公共安全的目的，不得用于其他目的；取得个人单独同意的除外。
企业在公共场所装摄像头、人脸识别设备，必须是维护公共安全必需的，要合规设明显提示。收集的图像、身份信息只能用于公共安全，不能干别的，除非个人单独同意。
第27条
个人信息处理者可以在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息；个人明确拒绝的除外。个人信息处理者处理已公开的个人信息，对个人权益有重大影响的，应当依照本法规定取得个人同意。
企业可在合理范围内使用已公开的个人信息，但若个人明确拒绝则不能再用；若使用会对个人权益有重大影响，必须先取得个人同意。
第28条
敏感个人信息是一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。 只有在具有特定的目的和充分的必要性，并采取严格保护措施的情形下，个人信息处理者方可处理敏感个人信息。
处理生物识别、医疗健康、金融账户等敏感信息，企业必须有特定目的和充分必要性，并采取严格保护措施，否则禁止处理。
第29条
处理敏感个人信息应当取得个人的单独同意；法律、行政法规规定处理敏感个人信息应当取得书面同意的，从其规定。
企业处理敏感个人信息（如健康、金融账户等）必须单独获得个人明确同意；若法律明确规定需书面同意，则必须采用书面形式获取。
第30条
个人信息处理者处理敏感个人信息的，除本法第十七条第一款规定的事项外，还应当向个人告知处理敏感个人信息的必要性以及对个人权益的影响；依照本法规定可以不向个人告知的除外。
处理敏感个人信息时，企业必须向个人说明为什么要处理这些信息（必要性），以及可能对个人权益造成什么影响。除非法律规定可以不告知，否则不能隐瞒这些关键信息。
第31条
个人信息处理者处理不满十四周岁未成年人个人信息的，应当取得未成年人的父母或者其他监护人的同意。 个人信息处理者处理不满十四周岁未成年人个人信息的，应当制定专门的个人信息处理规则。
处理不满14岁未成年人信息，必须先获得其父母或监护人的明确同意，同时企业还要专门制定一套针对未成年人信息的处理规则。
第32条
法律、行政法规对处理敏感个人信息规定应当取得相关行政许可或者作出其他限制的，从其规定。
法律、行政法规对处理敏感个人信息规定应当取得相关行政许可或者作出其他限制的，从其规定。
第33条
国家机关处理个人信息的活动，适用本法；本节有特别规定的，适用本节规定。
国家机关处理个人信息必须遵守个人信息保护法，若本节有特别规定则优先执行。
第34条
国家机关为履行法定职责处理个人信息，应当依照法律、行政法规规定的权限、程序进行，不得超出履行法定职责所必需的范围和限度。
国家机关处理个人信息必须严格按法律、行政法规规定的权限和程序操作，禁止超出履行职责必需的范围和限度。
第35条
国家机关为履行法定职责处理个人信息，应当依照本法规定履行告知义务；有本法第十八条第一款规定的情形，或者告知将妨碍国家机关履行法定职责的除外。
国家机关处理个人信息时，通常得先告诉你处理哪些信息、为啥处理；但如果涉及特殊情形（如法律规定的保密事项）或告知会影响履职，就能豁免告知义务。
第36条
国家机关处理的个人信息应当在中华人民共和国境内存储；确需向境外提供的，应当进行安全评估。安全评估可以要求有关部门提供支持与协助。
国家机关处理个人信息必须存中国境内，确需境外提供的，得先做安全评估，相关部门能协助评估。
第37条
法律、法规授权的具有管理公共事务职能的组织为履行法定职责处理个人信息，适用本法关于国家机关处理个人信息的规定。
国家机关为履行法定职责处理个人信息，应当依照本法规定履行告知义务；有本法第十八条第一款规定的情形，或者告知将妨碍国家机关履行法定职责的除外。