PRC 个人信息保护法 PIPL · 2021 · 信托数据合规
《中华人民共和国个人信息保护法》2021-08-20 第十三届全国人大常委会通过 · 2021-11-01 起施行 · 网信办《个人信息出境标准合同办法》2023-06-01 · 网信办《数据出境安全评估办法》2022-09-01
一位深圳客户 2025-08 委托香港信托公司设立家族信托，trustee 的 KYC 表把家族 18 名成员的身份证号、健康状况、子女学校、海外住址、社交账号全部收集，并存储在 BVI 服务器。2026 年家族微信群被截图泄露后调查发现 trustee 的服务商把这批数据外包给印度团队处理 KYC。境内成员可以依据 PIPL 主张哪些权利？跨境传输是否合规？trustee 是否构成"个人信息处理者"？
PIPL 2021-11-01 实施后，中国第一次有了与 GDPR 对应的统一个人信息保护法。对家族信托而言，关键不是单条条款，而是 KYC 链条—境内自然人的身份信息一旦被境外 trustee / 律师 / 银行收集，就触发 PIPL 跨境传输义务。本页系统整理 PIPL 与信托数据合规的关系。
条款节选 · 关键 quote
PIPL 第 4 条 · 个人信息定义
个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。个人信息的处理包括个人信息的收集、存储、使用、加工、传输、提供、公开、删除等。
PIPL 第 13 条 · 处理个人信息的合法性基础
符合下列情形之一的，个人信息处理者方可处理个人信息：（一）取得个人的同意；（二）为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需；……
PIPL 第 38 条 · 跨境提供的合规路径
个人信息处理者因业务等需要，确需向中华人民共和国境外提供个人信息的，应当具备下列条件之一：（一）依照本法第四十条的规定通过国家网信部门组织的安全评估；（二）按照国家网信部门的规定经专业机构进行个人信息保护认证；（三）按照国家网信部门制定的标准合同与境外接收方订立合同；（四）法律、行政法规或者国家网信部门规定的其他条件。
PIPL 第 50 条 · 个人信息处理者义务
个人信息处理者应当建立便捷的个人行使权利的申请受理和处理机制。拒绝个人行使权利的请求的，应当说明理由。个人信息处理者对个人行使权利的请求不予处理的，个人可以依法向人民法院提起诉讼。
适用范围
- 境内处理：在境内处理境内自然人个人信息 → 直接适用 PIPL · 无论处理者国籍
- 域外效力：第 3 条规定—境外处理境内自然人个人信息，若以向境内自然人提供产品 / 服务为目的，或分析评估境内自然人行为，亦适用 PIPL（类 GDPR 域外效力）
- 家族信托场景：(a) trustee 在境外但收集境内 settlor / beneficiary 信息 → 适用 PIPL；(b) 境外律师 / 银行 / 保险代理 因 KYC 收集境内自然人信息 → 适用 PIPL；(c) trustee 把数据 外包 / 委托给第三方处理 → trustee 仍是处理者，须负主体责任
- 不适用情形：完全匿名化数据 / 与境内自然人无关的数据（如 settlor 已注销户籍 + 移民已 5 年以上 + 仅持非中国护照 时部分场景可争辩）
信托 KYC 数据的法律定性
家族信托 KYC 表通常包含以下信息分层 · 不同分层在 PIPL 下的合规义务不同：
- 一般个人信息：姓名 / 性别 / 国籍 / 联系方式 / 教育背景 / 职业 / 婚姻状况 → 一般同意 + 第 13 条合法性基础
- 敏感个人信息（第 28 条）：身份证号 / 生物识别 / 宗教信仰 / 特定身份 / 医疗健康 / 金融账户 / 行踪轨迹 / 14 岁以下未成年人信息 → 需单独同意 + 处理必要性 + 严格保护
- 家族关系网络：亲属关系图谱 / 家族成员清单 → 涉及多个自然人 · 每人均需独立同意 · 不能仅由 settlor 一人代签
- 资产 / 财富信息：在 PIPL 下不是个人信息核心保护对象，但与 自然人身份关联 后构成个人信息（如"张某持有上海某栋别墅"）
- 电子取证数据：微信 / WhatsApp 对话记录 / 社交账号截图 / 浏览记录 → 敏感程度高 · 信托 KYC 一般不应收集 · 收集需特别授权
跨境传输三条合规路径
PIPL 第 38 条规定跨境提供个人信息的三条主路径·家族信托场景中适用情况如下：
- 路径 1 · 安全评估（重要数据处理者 / 关键信息基础设施运营者 / 处理超 100 万人个人信息 / 累计向境外提供超 10 万人个人信息或 1 万人敏感个人信息）→ 单一家族信托一般达不到门槛 · 但服务商若聚合多家族数据可能触发
- 路径 2 · 标准合同（SCC）：网信办 2023-06-01 颁布《个人信息出境标准合同办法》→ 处理者与境外接收方签 SCC + 备案 + 个人信息保护影响评估（PIIA）→ 是家族信托最现实的合规路径
- 路径 3 · 保护认证：通过 国家市场监督管理总局 / 网信办指定专业机构认证 → 目前认证机构和案例较少 · 多用于跨国集团
- 路径 4 · 法律 / 行政法规规定的其他条件：留作未来扩展空间
- 个人同意 + 必要性：第 39 条规定境外提供需向个人告知接收方信息 + 取得单独同意（非概括同意）· 这是上述三条路径之外的额外义务，非替代
实务影响 · 中国家族
- 境内家族成员是法定权利人：即使信托设立在境外 · 境内自然人的信息一经收集即受 PIPL 保护 · 家族成员可主张知情权 / 查阅复制权 / 更正权 / 删除权 / 撤回同意权
- trustee 多承担个人信息处理者责任：境外 trustee 在合规上经常未意识到 PIPL 域外效力 · 也未配备 SCC · 一旦发生数据泄露 / 投诉 · 网信办可对处理者罚款最高 5000 万元 或 上一年度营业额 5%（第 66 条）
- 境内服务商（境内律师 / 私人银行）必须先合规：即使最终数据传给境外 trustee · 在中国境内的"先收集者"是合规起点 · 需配备 SCC + PIIA + 备案
- 敏感个人信息的单独同意难点：实务中信托 KYC 包大量身份证 / 健康 / 金融账户信息 · 一般签一份"打包"同意书并不构成 PIPL 要求的单独同意 · 需逐项明示
- 家族微信群截图风险：未来 PIPL 诉讼可能从家族内部数据泄露起诉 · settlor 不能仅"代家人"签数据授权
规划方向 + 边界
- 方向 1 · KYC 收集最小化：信托 KYC 表删除非必要字段 · 子女学校 / 健康记录 / 社交账号一般不应收集
- 方向 2 · 分层授权：家族每位成员独立签授权书 · settlor 不代签 · 14 岁以下未成年人由法定监护人签
- 方向 3 · 数据本地化存储：高敏感数据（身份证 / 健康 / 金融账户）首选境内云存储 · 境外仅传必要字段
- 方向 4 · SCC + PIIA 标配：与境外 trustee 必签 SCC · 完成 PIIA · 备案 · 并要求 trustee 限制下游服务商访问
- 边界 · 不可避免：境外 trustee 必然需要核心 KYC 字段（身份证 / 资金来源说明 / 实际控制人）· 不能完全境内化 · 合规路径不是"避开 PIPL" 而是"按 PIPL 设计"
- 边界 · 与 CRS / FATCA 的协调：CRS 自我证明 + FATCA W8-BEN 仍需提供个人信息 · 与 PIPL 跨境路径并行 · 不冲突但需双重合规
关联条款 / 判例 cross-link
- 条款：PRC 信托法 · 民事信托边界
- 条款：PRC CRS 尽职调查管理办法 2017
- 条款：CRS 中国实施
- 风险：跨境数据隐私合规风险
附录 · 原始来源
立法 / 规范
- 《中华人民共和国个人信息保护法》2021-08-20 第十三届全国人大常委会通过 · 2021-11-01 施行
- 《中华人民共和国数据安全法》2021-06-10 通过 · 2021-09-01 施行
- 《中华人民共和国网络安全法》2016-11-07 通过 · 2017-06-01 施行
- 网信办《数据出境安全评估办法》2022-07-07 公布 · 2022-09-01 施行
- 网信办《个人信息出境标准合同办法》2023-02-22 公布 · 2023-06-01 施行
- 《促进和规范数据跨境流动规定》2024-03-22 公布 · 即时施行
实务参照
- 全国信息安全标准化技术委员会《个人信息安全规范》GB/T 35273-2020
- 网信办《个人信息保护认证实施规则》2022-11-04
- 中国信通院《数据出境合规白皮书》2024 修订