适用场景
本指南面向所有在中国境内处理个人信息或向中国个人提供服务的出海企业，无论其规模大小。尤其适用于涉及自动化决策、处理敏感个人信息（如儿童信息）、进行跨境数据传输以及需要建立健全数据合规体系的企业。
核心要点
1. 自动化决策与“大数据杀熟”合规
《个人信息保护法》旨在规范自动化决策行为，要求企业确保决策透明、结果公平公正，并禁止不合理的差别待遇。企业需在实施自动化决策前进行个人信息保护影响评估（PIA），并向用户提供投诉和人工复核渠道。
2. 儿童个人信息增强保护
不满十四周岁未成年人的个人信息被视为敏感个人信息，需获得单独同意并制定专门处理规则。企业应采取有效措施识别儿童用户，并设计产品时默认提供高水平隐私保护，以确保儿童个人信息安全。
3. 个人信息跨境传输规则
企业向境外提供个人信息时，必须确保境外接收方的数据处理活动符合《个人信息保护法》的保护标准。中国正积极参与全球数据跨境流动治理，出海企业需关注相关国际条约、协定及国内试点政策。
4. 个人信息转移权实践
《个人信息保护法》赋予个人将其信息转移至指定处理者的权利，旨在打破数据垄断、促进市场竞争。企业需明确转移条件、探索技术实现方式，并在保障数据安全的前提下，确保用户能够便捷行使此权利。
5. 健全的个人信息救济体系
《个人信息保护法》构建了民事、行政、刑事“三位一体”的救济体系，个人、检察院、行政部门均可采取行动。企业需了解各类法律责任，并关注行政处罚与刑事责任的衔接标准，避免违法行为升级。
实务建议
- 对涉及自动化决策的业务场景进行个人信息保护影响评估（PIA），并定期审查评估报告。
- 确保自动化决策过程透明，向用户清晰说明决策规则和考量因素，并提供人工复核选项。
- 建立有效的年龄识别机制，针对儿童用户采取专门的隐私保护措施，如默认高隐私设置和使用儿童友好型隐私政策。
- 在进行个人信息跨境传输前，评估境外接收方的保护能力，并确保其符合中国法律要求。
- 在隐私政策中明确告知用户个人信息转移权，并探索采用结构化、机器可读的数据格式，以支持数据转移。
- 加强内部数据安全管理，在数据转移过程中采取强化的身份认证和加密措施，防范泄露风险。
- 建立健全内部合规管理体系，定期进行合规培训，确保员工理解并遵守《个人信息保护法》各项规定。
风险提示
- 不合理的“大数据杀熟”行为，如基于用户浏览习惯或经济水平进行歧视性定价，将面临法律制裁。
- 仅在隐私政策中设置未成年人条款不足以满足儿童个人信息保护要求，需采取实质性保护措施。
- 未经充分评估和采取必要保障措施的个人信息跨境传输，可能导致严重合规风险和高额罚款。
- 个人信息转移权可能引发数据泄露风险，企业需在保障用户权利的同时，确保数据传输安全。
- 违反《个人信息保护法》可能面临高额行政罚款、停业整顿，情节严重者甚至会追究刑事责任，直接责任人可能面临有期徒刑。