规则出处与规范指向

本条（《中华人民共和国个人信息保护法》第六十六条，违法处理个人信息的法律责任）：《个人信息保护法》第六十六条规定：违反本法规定处理个人信息，或者处理个人信息未履行本法规定的个人信息保护义务的，由履行个人信息保护职责的部门责令改正、给予警告、没收违法所得，对违法的应用程序可以责令暂停或者终止提供服务；拒不改正的，并处一百万元以下罚款。情节严重的，由省级以上部门责令改正、没收违法所得，并处五千万元以下或者上一年度营业额百分之五以下罚款，并可以责令暂停相关业务、停业整顿、吊销许可或者营业执照；对直接负责的主管人员和其他直接责任人员处十万元以上一百万元以下罚款。

一、两类文本承担不同功能

应对责任风险需要两类文本：对内是制度与规程，用以证明处理者有体系化的管理安排；对外是隐私政策与相关协议，用以证明告知义务的履行。两者不能互相替代，仅有一套通常不足以说明全部义务的履行情况。

二、对内制度应包含的内容

制度文件应当写明：职责分工与责任主体、数据分类分级标准、处理活动的审批与评估流程、对外提供与出境的管理要求、安全事件的报告与处置流程、培训与审计安排、以及违反制度的内部处理方式。内容具体到可执行的程度，而非停留在原则层面。

三、对外文本的配套

隐私政策应当与内部制度保持一致，尤其是关于处理目的、信息种类、保存期限、对外提供与个人权利的表述。若对外描述与内部实际做法不符，说明义务的履行会受到质疑。

四、文档管理的基本要求

制度与文本应当有版本号、生效日期与修订记录，历次修订说明变更内容与原因。发生争议时，这些记录能够说明处理者的管理状态与改进过程，比仅提供最新版本有效得多。