收集使用个人信息的合法正当必要与明示规则
网络运营者收集、使用个人信息，应当遵循合法、正当、必要的原则，公开收集、使用规则，明示收集、使用信息的目的、方式和范围，并经被收集者同意；不得收集与其提供的服务无关的个人信息，不得违反法律、行政法规的规定和双方的约定收集、使用个人信息。
数据分类分级保护制度
国家建立数据分类分级保护制度，根据数据在经济社会发展中的重要程度，以及一旦遭到篡改、破坏、泄露或者非法获取、非法利用，对国家安全、公共利益或者个人、组织合法权益造成的危害程度，对数据实行分类分级保护；各地区、各部门按照职责确定并公布本地区、本部门以及相关行业、领域的重要数据具体目录。
数据安全保护义务与全流程管理制度
开展数据处理活动应当依照法律、法规规定，建立健全全流程数据安全管理制度，组织开展数据安全教育培训，采取相应的技术措施和其他必要措施，保障数据安全；利用互联网等信息网络开展数据处理活动的，还应当履行网络安全法规定的义务；重要数据的处理者应当明确数据安全负责人和管理机构。
最小必要原则
处理个人信息应当具有明确、合理的目的，并应当与处理目的直接相关，采取对个人权益影响最小的方式；收集个人信息应当限于实现处理目的的最小范围，不得过度收集个人信息。
处理个人信息的合法性基础
处理个人信息原则上应当取得个人同意，法律同时列举了法定情形下的处理基础：为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需；为履行法定职责或者法定义务所必需；紧急情况下为保护自然人生命健康和财产安全所必需；为公共利益实施新闻报道、舆论监督等行为在合理范围内处理；处理个人自行公开或者其他已经合法公开的个人信息等。
同意的自愿明确与撤回
基于个人同意处理个人信息的，同意应当由个人在充分知情的前提下自愿、明确作出；法律、行政法规规定应当取得单独同意或者书面同意的，从其规定；个人有权撤回同意，撤回同意不影响撤回前基于同意已进行的个人信息处理活动的效力。
向其他处理者提供个人信息的告知与单独同意
个人信息处理者向其他个人信息处理者提供其处理的个人信息的，应当向个人告知接收方的名称或者姓名、联系方式、处理目的、处理方式和个人信息的种类，并取得个人的单独同意；接收方应当在前述告知的目的和范围内处理个人信息。
敏感个人信息的界定与处理要求
敏感个人信息是一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息；处理敏感个人信息应当具有特定的目的和充分的必要性，并采取严格保护措施。
个人信息出境路径
个人信息处理者因业务等需要，确需向中华人民共和国境外提供个人信息的，应当具备下列条件之一：通过国家网信部门组织的安全评估；经专业机构进行个人信息保护认证；按照国家网信部门制定的标准合同与境外接收方订立合同；法律、行政法规或者国家网信部门规定的其他条件，并确保境外接收方的处理活动达到本法规定的保护标准。
知情权与决定权
个人对其个人信息的处理享有知情权、决定权，有权限制或者拒绝他人对其个人信息进行处理；法律、行政法规另有规定的除外。该条是个人权利体系的总纲，查询、复制、更正、删除、可携带等具体权利均在此基础上展开，企业应提供便捷的权利行使渠道。
删除权与删除例外
处理目的已实现、无法实现或者为实现处理目的不再必要，个人撤回同意，处理者违法或者违约处理个人信息等情形下，处理者应当主动删除个人信息；未删除的，个人有权请求删除。法律、行政法规规定的保存期限未届满，或者删除在技术上难以实现的，应当停止除存储和采取必要的安全保护措施之外的处理。
违法处理个人信息的法律责任
违反本法规定处理个人信息的，由履行个人信息保护职责的部门责令改正、给予警告、没收违法所得，拒不改正的并处罚款；情节严重的，可处五千万元以下或者上一年度营业额百分之五以下罚款，并可责令暂停相关业务、停业整顿或吊销相关业务许可、营业执照；对直接负责的主管人员和其他直接责任人员可处罚款，并可决定禁止其一定期限内担任相关职务。