网络数据安全管理条例（节选）
(2024年8月30日国务院第40次常务会议通过 2024年9月24日中华人民共和国国务院令第790号公布 自2025年1月1日起施行)
第二十一条 网络数据处理者在处理个人信息前，通过制定个人信息处理规则的方式依法向个人告知的，个人信息处理规则应当集中公开展示、易于访问并置于醒目位置，内容明确具体、清晰易懂，包括但不限于下列内容：
(一)网络数据处理者的名称或者姓名和联系方式；
(二)处理个人信息的目的、方式、种类，处理敏感个人信息的必要性以及对个人权益的影响；
(三)个人信息保存期限和到期后的处理方式，保存期限难以确定的，应当明确保存期限的确定方法；
(四)个人查阅、复制、转移、更正、补充、删除、限制处理个人信息以及注销账号、撤回同意的方法和途径等。
网络数据处理者按照前款规定向个人告知收集和向其他网络数据处理者提供个人信息的目的、方式、种类以及网络数据接收方信息的，应当以清单等形式予以列明。网络数据处理者处理不满十四周岁未成年人个人信息的，还应当制定专门的个人信息处理规则。
第二十二条 网络数据处理者基于个人同意处理个人信息的，应当遵守下列规定：
(一)收集个人信息为提供产品或者服务所必需，不得超范围收集个人信息，不得通过误导、欺诈、胁迫等方式取得个人同意；
(二)处理生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等敏感个人信息的，应当取得个人的单独同意；
(三)处理不满十四周岁未成年人个人信息的，应当取得未成年人的父母或者其他监护人的同意；
(四)不得超出个人同意的个人信息处理目的、方式、种类、保存期限处理个人信息；
(五)不得在个人明确表示不同意处理其个人信息后，频繁征求同意；
(六)个人信息的处理目的、方式、种类发生变更的，应当重新取得个人同意。
法律、行政法规规定处理敏感个人信息应当取得书面同意的，从其规定。