关联法律法规
《个人信息保护法》
第九条
个人信息处理者应当对其个人信息处理活动负责，并采取必要措施保障所处理的个人信息的安全。
第五十二条
处理个人信息达到国家网信部门规定数量的个人信息处理者应当指定个人信息保护负责人，负责对个人信息处理活动以及采取的保护措施等进行监督。
个人信息处理者应当公开个人信息保护负责人的联系方式，并将个人信息保护负责人的姓名、联系方式等报送履行个人信息保护职责的部门。
第五十八条
提供重要互联网平台服务、用户数量巨大、业务类型复杂的个人信息处理者，应当履行下列义务：
（一）按照国家规定建立健全个人信息保护合规制度体系，成立主要由外部成员组成的独立机构对个人信息保护情况进行监督；
（二）遵循公开、公平、公正的原则，制定平台规则，明确平台内产品或者服务提供者处理个人信息的规范和保护个人信息的义务；
（三）对严重违反法律、行政法规处理个人信息的平台内的产品或者服务提供者，停止提供服务；
（四）定期发布个人信息保护社会责任报告，接受社会监督。
第六十一条
履行个人信息保护职责的部门履行下列个人信息保护职责：
（一）开展个人信息保护宣传教育，指导、监督个人信息处理者开展个人信息保护工作；
（二）接受、处理与个人信息保护有关的投诉、举报；
（三）组织对应用程序等个人信息保护情况进行测评，并公布测评结果；
（四）调查、处理违法个人信息处理活动；(https://www.daowen.com)
（五）法律、行政法规规定的其他职责。
第六十四条
履行个人信息保护职责的部门在履行职责中，发现个人信息处理活动存在较大风险或者发生个人信息安全事件的，可以按照规定的权限和程序对该个人信息处理者的法定代表人或者主要负责人进行约谈，或者要求个人信息处理者委托专业机构对其个人信息处理活动进行合规审计。个人信息处理者应当按照要求采取措施，进行整改，消除隐患。
履行个人信息保护职责的部门在履行职责中，发现违法处理个人信息涉嫌犯罪的，应当及时移送公安机关依法处理。
《刑法》
第二百五十三条之一 【侵犯公民个人信息罪】
违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。
违反国家有关规定，将在履行职责或者提供服务过程中获得的公民个人信息，出售或者提供给他人的，依照前款的规定从重处罚。
窃取或者以其他方法非法获取公民个人信息的，依照第一款的规定处罚。
单位犯前三款罪的，对单位判处罚金，并对其直接负责的主管人员和其他直接责任人员，依照各该款的规定处罚。
《网络安全法》
第四十条
网络运营者应当对其收集的用户信息严格保密，并建立健全用户信息保护制度。
第四十一条
网络运营者收集、使用个人信息，应当遵循合法、正当、必要的原则，公开收集、使用规则，明示收集、使用信息的目的、方式和范围，并经被收集者同意。
网络运营者不得收集与其提供的服务无关的个人信息，不得违反法律、行政法规的规定和双方的约定收集、使用个人信息，并应当依照法律、行政法规的规定和与用户的约定，处理其保存的个人信息。
第四十二条
网络运营者不得泄露、篡改、毁损其收集的个人信息；未经被收集者同意，不得向他人提供个人信息。但是，经过处理无法识别特定个人且不能复原的除外。
网络运营者应当采取技术措施和其他必要措施，确保其收集的个人信息安全，防止信息泄露、毁损、丢失。在发生或者可能发生个人信息泄露、毁损、丢失的情况时，应当立即采取补救措施，按照规定及时告知用户并向有关主管部门报告。
《电话用户真实身份信息登记规定》
第十二条
电信业务经营者应当建立健全用户真实身份信息保密管理制度。
电信业务经营者及其工作人员对在提供服务过程中登记的用户真实身份信息应当严格保密，不得泄露、篡改或者毁损，不得出售或者非法向他人提供，不得用于提供服务之外的目的。
《工业和信息化部关于进一步防范和打击通讯信息诈骗工作的实施意见》
五、加强行业用户个人信息保护
（十七）严格保护行业用户个人信息。电信和互联网企业要严格落实《全国人民代表大会常务委员会关于加强网络信息保护的决定》、《电信和互联网用户个人信息保护规定》（工业和信息化部令第24号）等规定，严格用户个人信息使用内部管理，采取必要的网络安全技术保障措施。2016年11月底前，各基础电信企业、移动转售企业和互联网企业要全面完成用户个人信息保护自查，重点检查营业厅、代理点等环节用户个人信息保护管理和涉及用户个人信息系统的安全防护，加强内部安全审计，严肃处理非法出售、泄露用户个人信息的问题。部将结合2016年网络安全防护检查工作，对基础电信企业、重点移动转售企业和互联网企业开展抽查，对于明知存在严重安全隐患仍不采取措施的，严肃查处并公开曝光。
……
《金融机构客户尽职调查和客户身份资料及交易记录保存管理办法》
第四十五条第一款
金融机构应当采取必要的管理措施和技术措施，逐步实现以电子化方式完整、准确保存客户身份资料及交易信息，依法保护商业秘密和个人信息，防止客户身份资料及交易记录缺失、损毁，防止泄漏客户身份信息及交易信息。
《非银行支付机构网络支付业务管理办法》
第二十条
支付机构应当依照中国人民银行有关客户信息保护的规定，制定有效的客户信息保护措施和风险控制机制，履行客户信息保护责任。
支付机构不得存储客户银行卡的磁道信息或芯片信息、验证码、密码等敏感信息，原则上不得存储银行卡有效期。因特殊业务需要，支付机构确需存储客户银行卡有效期的，应当取得客户和开户银行的授权，以加密形式存储。
支付机构应当以“最小化”原则采集、使用、存储和传输客户信息，并告知客户相关信息的使用目的和范围。支付机构不得向其他机构或个人提供客户信息，法律法规另有规定，以及经客户本人逐项确认并授权的除外。