第十七條　個人信息處理者在處理個人信息前，應(yīng)當(dāng)以顯著方式、清晰易懂的語言真實、準確、完整地向個人告知下列事項：

（一）個人信息處理者的名稱或者姓名和聯(lián)系方式；

（二）個人信息的處理目的、處理方式，處理的個人信息種類、保存期限；

（三）個人行使本法規(guī)定權(quán)利的方式和程序；

（四）法律、行政法規(guī)規(guī)定應(yīng)當(dāng)告知的其他事項。

前款規(guī)定事項發(fā)生變更的，應(yīng)當(dāng)將變更部分告知個人。

個人信息處理者通過制定個人信息處理規(guī)則的方式告知第一款規(guī)定事項的，處理規(guī)則應(yīng)當(dāng)公開，并且便于查閱和保存。

第十八條　個人信息處理者處理個人信息，有法律、行政法規(guī)規(guī)定應(yīng)當(dāng)保密或者不需要告知的情形的，可以不向個人告知前條第一款規(guī)定的事項。

緊急情況下為保護自然人的生命健康和財產(chǎn)安全無法及時向個人告知的，個人信息處理者應(yīng)當(dāng)在緊急情況消除后及時告知。

根據(jù)第十四條的規(guī)定“基于個人同意處理個人信息的，該同意應(yīng)當(dāng)由個人在充分知情的前提下自愿、明確作出”，這就要求個人信息處理者在處理個人信息之前，有告知的義務(wù)。告知的程度，應(yīng)該達到個人“充分知情”的地步。

第十七條規(guī)定了需要向個人告知的事項。在這些事項中，名稱（姓名）和聯(lián)系方式是一種常規(guī)告知。個人信息處理目的、處理方式，這一部分可能會成為一些企業(yè)重點考慮的問題，也可能是容易發(fā)生變更的事項。很多企業(yè)有最大限度處理個人信息的想法，但是目前要求明確處理目的和處理方式，無疑對之后個人信息處理的范圍進行了限制。另外，經(jīng)營模式的發(fā)展以及企業(yè)和技術(shù)的發(fā)展，會產(chǎn)生新的個人信息的處理目的和處理方式。

當(dāng)已經(jīng)告知的事項發(fā)生變化的時候，需要再次將變更部分告知個人。同時，根據(jù)第十四條的規(guī)定，需要個人再次同意。這就為一些產(chǎn)品或者服務(wù)的提供者提出了新的要求。

第十八條規(guī)定了向個人告知的例外情況，主要有兩種例外情況：1、法律、行政法規(guī)（不包括部門規(guī)章、地方性規(guī)定等法律類文件）應(yīng)當(dāng)保密的或者不需要告知的；2、緊急情況，為了更高位階的法律價值（生命健康、財產(chǎn)安全）無法及時告知的，可以在緊急情況消除后告知。這種情況不是不告知，只是可以暫緩告知義務(wù)。

第十九條　除法律、行政法規(guī)另有規(guī)定外，個人信息的保存期限應(yīng)當(dāng)為實現(xiàn)處理目的所必要的最短時間。

本條是關(guān)于個人信息的保存期限的問題。對這個問題，《個人信息保護法》并沒有做出統(tǒng)一的規(guī)定，而是規(guī)定了一個確定時間的規(guī)則，即：為實現(xiàn)處理目的所必要的最短時間。

這條規(guī)則，如果遇到法律糾紛，其實是苛以了信息處理者一個舉證義務(wù)：說明或者證明某種信息為什么需要保存一個月或者兩個月，必要性在哪里？如果信息處理者無法說明或者證明“必要最短時間”的話，應(yīng)該承擔(dān)相應(yīng)的法律責(zé)任。

第二十條　兩個以上的個人信息處理者共同決定個人信息的處理目的和處理方式的，應(yīng)當(dāng)約定各自的權(quán)利和義務(wù)。但是，該約定不影響個人向其中任何一個個人信息處理者要求行使本法規(guī)定的權(quán)利。

個人信息處理者共同處理個人信息，侵害個人信息權(quán)益造成損害的，應(yīng)當(dāng)依法承擔(dān)連帶責(zé)任。

兩個以上的個人信息處理者共同處理個人信息的情況非常多。有的是兩個以上的經(jīng)營者共同經(jīng)營一款產(chǎn)品或者服務(wù)，有的是一個或者多個經(jīng)營者在另外一個經(jīng)營者提供的平臺上經(jīng)營，有的是兩個以上的經(jīng)營者達成協(xié)議共同處理個人信息，無論哪種情況，如果共同決定個人信息的處理目的和處理方式的，應(yīng)該根據(jù)本條的規(guī)定，約定各自的權(quán)利和義務(wù)。

共同處理個人信息侵害個人權(quán)益的，屬于共同侵權(quán)行為，應(yīng)該承擔(dān)連帶責(zé)任。

第二十一條　個人信息處理者委托處理個人信息的，應(yīng)當(dāng)與受托人約定委托處理的目的、期限、處理方式、個人信息的種類、保護措施以及雙方的權(quán)利和義務(wù)等，并對受托人的個人信息處理活動進行監(jiān)督。

受托人應(yīng)當(dāng)按照約定處理個人信息，不得超出約定的處理目的、處理方式等處理個人信息；委托合同不生效、無效、被撤銷或者終止的，受托人應(yīng)當(dāng)將個人信息返還個人信息處理者或者予以刪除，不得保留。

未經(jīng)個人信息處理者同意，受托人不得轉(zhuǎn)委托他人處理個人信息。

本條是規(guī)定受托處理個人信息者的義務(wù)問題。相比個人信息處理者的義務(wù)，受托處理個人信息者的義務(wù)要小的多：1、關(guān)于合同內(nèi)容的要求，即約定委托處理的目的、期限、處理方式、個人信息的種類、保護措施以及雙方的權(quán)利和義務(wù)等；2、接受受托人對個人信息處理活動的監(jiān)督；3、依照約定處理個人信息；4、合同無效或者終止的，返還或者刪除個人信息；5、不得轉(zhuǎn)委托。

因為相比個人信息處理者，受托處理信息者的義務(wù)小的多，所以有可能一些企業(yè)把自己定義為受托處理信息者，來躲避法定的義務(wù)。這個時候，我們需要根據(jù)實際情況來判決該企業(yè)究竟屬于個人信息處理者還是受托處理信息者。如果一個企業(yè)既是個人信息處理者又是收圖圖哦處理個人信息者雙重身份，那么就需要根據(jù)其具體的經(jīng)營行為來具體判斷承擔(dān)什么樣的法律義務(wù)。

第二十二條　個人信息處理者因合并、分立、解散、被宣告破產(chǎn)等原因需要轉(zhuǎn)移個人信息的，應(yīng)當(dāng)向個人告知接收方的名稱或者姓名和聯(lián)系方式。接收方應(yīng)當(dāng)繼續(xù)履行個人信息處理者的義務(wù)。接收方變更原先的處理目的、處理方式的，應(yīng)當(dāng)依照本法規(guī)定重新取得個人同意。

本條是關(guān)于個人信息處理者合并、分立、解散、被宣告破產(chǎn)等原因需要轉(zhuǎn)移個人信息的，怎么怎么辦的規(guī)則。需要指出的是，個人信息處理者合并、分立的時候未必需要轉(zhuǎn)移個人信息。而在解散、被宣告破產(chǎn)的時候，一定需要轉(zhuǎn)移個人信息。