按照《中华人民共和国个人信息保护法》的思路，合规的文件传输意味着：只在必要时发送个人信息，采取加密等安全措施，保存时间不超过实现目的所必需的最短时间，与代为处理的服务方约定好权利义务，涉及向境外提供时满足法定条件。法律不给工具“发证”，义务落在处理个人信息的单位和个人身上，选对服务只是让这些义务更容易落实。
本文梳理该法中与发送简历、工资条、病历、合同、客户名单、人像照片等含个人信息文件相关的条文，并对照欧盟的《通用数据保护条例》（GDPR）。以下为截至 2026 年 10 月的一般性信息，依据全国人大常委会通过的法律原文和国家互联网信息办公室公布的规定整理，不构成法律意见；具体问题请咨询你的法务或律师。
个人信息保护法什么时候适用于发送文件？
《个人信息保护法》于 2021 年 8 月 20 日由第十三届全国人大常委会第三十次会议通过，2021 年 11 月 1 日起施行。根据第三条，在中国境内处理自然人个人信息的活动适用本法；在境外处理境内自然人个人信息，以向境内自然人提供产品或服务为目的，或者分析、评估境内自然人行为的，也适用。
第四条把个人信息定义为以电子或者其他方式记录的、与已识别或者可识别的自然人有关的各种信息（匿名化处理后的信息除外），而“处理”包括收集、存储、使用、加工、传输、提供、公开、删除等。也就是说，一份带姓名和电话的合同、一张客户表格、一张能认出人脸的照片，只要被发送出去，就是在处理个人信息；传输服务临时存储这些文件，同样属于处理。
与文件传输相关的条文一览
| 条文 | 简要内容 | 对发送文件意味着什么 |
|---|---|---|
| 第六条 最小必要 | 处理应目的明确、合理，限于实现目的的最小范围，不得过度收集 | 只发对方需要的文件和字段 |
| 第十九条 保存期限 | 保存期限应为实现处理目的所必要的最短时间 | 用会过期的链接，事情办完就删除 |
| 第二十一条 委托处理 | 与受托人约定目的、期限、方式、种类、保护措施等，并监督；受托人未经同意不得转委托 | 与代为存储文件的服务方约定好条款 |
| 第二十八条 敏感个人信息 | 包括生物识别、医疗健康、金融账户、行踪轨迹等，以及不满十四周岁未成年人的个人信息 | 这类文件要用最严格的保护 |
| 第三十八至四十条 出境 | 向境外提供个人信息须满足法定条件，告知并取得单独同意 | 先弄清服务方把文件存在哪里 |
| 第五十一条 安全措施 | 内部制度、分类管理、加密和去标识化、权限管理、培训、应急预案 | 加密、密码、访问控制和事件预案 |
| 第五十五条 影响评估 | 处理敏感个人信息、委托处理、向境外提供等情形，应事前评估并记录 | 把传输工具纳入评估和记录 |
| 第五十七条 安全事件 | 立即采取补救措施，并通知履行个人信息保护职责的部门和个人 | 链接发错人时知道该怎么做 |
| 第六十六条 法律责任 | 情节严重的，最高处五千万元以下或者上一年度营业额百分之五以下罚款 | 后果并不轻 |
传输服务是“受托人”：先把约定写清楚
当传输服务代你存储和分发文件时，它处理的是你委托的个人信息。第二十一条要求个人信息处理者与受托人约定委托处理的目的、期限、处理方式、个人信息的种类、保护措施以及双方的权利和义务，并对受托人的处理活动进行监督；受托人应按约定处理，委托关系结束后返还或删除个人信息，未经同意不得转委托他人。企业使用时，应查看服务方的隐私政策和服务条款，确认它说明了数据的用途、保存期限、存储地点和使用的第三方服务商。按照第五十五条，委托处理个人信息属于应当事前进行个人信息保护影响评估并记录的情形之一。
个人信息保护法要求加密吗？
第五十一条要求个人信息处理者根据处理目的、处理方式、个人信息的种类、对个人权益的影响以及可能存在的安全风险，采取一系列措施，其中明确列出“采取相应的加密、去标识化等安全技术措施”。同一条还包括制定内部管理制度和操作规程、对个人信息实行分类管理、合理确定操作权限并定期培训从业人员，以及制定并组织实施个人信息安全事件应急预案。
加密在事后同样有意义。第五十七条规定，个人信息处理者采取的措施能够有效避免信息泄露、篡改、丢失造成危害的，可以不通知个人；但履行个人信息保护职责的部门认为可能造成危害的，有权要求通知。妥善加密是否属于这种情形，需要结合具体情况判断。最强的一种是端到端加密，连服务方都无法读取文件，原理见端到端加密是什么意思。
保存期限：为什么会过期的链接更合适
一个开了好几年的共享文件夹，很难说符合第十九条“必要的最短时间”的要求。几天后自动失效、到期即删除文件的传输链接，不需要任何人记得去清理，就能把保存期限控制住。分享链接密码和有效期一文按场景给出了建议时长。
个人信息出境：第三十八条和 2024 年的新规定
第三十八条规定，个人信息处理者因业务等需要确需向境外提供个人信息的，应当具备下列条件之一：通过国家网信部门组织的安全评估；按照国家网信部门的规定经专业机构进行个人信息保护认证；按照国家网信部门制定的标准合同与境外接收方订立合同；或者法律、行政法规、国家网信部门规定的其他条件。第三十九条还要求向个人告知境外接收方的名称或者姓名、联系方式、处理目的和方式等，并取得个人的单独同意。第四十条规定，关键信息基础设施运营者和处理个人信息达到国家网信部门规定数量的处理者，应当将在境内收集和产生的个人信息存储在境内。
国家互联网信息办公室 2024 年 3 月 22 日公布并施行的《促进和规范数据跨境流动规定》细化了门槛，与此前相关办法不一致的，以该规定为准：
- 免予申报安全评估、订立标准合同和通过认证的情形包括：为订立、履行个人作为一方当事人的合同（如跨境购物、跨境寄递、机票酒店预订、签证办理等）确需提供；按照依法制定的劳动规章制度和集体合同实施跨境人力资源管理确需提供员工个人信息；关键信息基础设施运营者以外的处理者自当年 1 月 1 日起累计向境外提供不满 10 万人个人信息（不含敏感个人信息）等。
- 关键信息基础设施运营者以外的处理者，自当年 1 月 1 日起累计向境外提供 10 万人以上、不满 100 万人个人信息（不含敏感个人信息），或者不满 1 万人敏感个人信息的，应当订立个人信息出境标准合同或者通过个人信息保护认证。
- 累计向境外提供 100 万人以上个人信息（不含敏感个人信息）或者 1 万人以上敏感个人信息，或者提供重要数据的，应当申报数据出境安全评估；关键信息基础设施运营者向境外提供个人信息，也应申报。
欧盟的对应规定：GDPR 怎么要求
如果你的收件人、客户或公司在欧盟，还会遇到欧盟《通用数据保护条例》（GDPR，条例 (EU) 2016/679）。两部法律思路相近，但细节不同：
| 主题 | 个人信息保护法 | GDPR |
|---|---|---|
| 最小必要与保存期限 | 第六条、第十九条 | 第 5(1)(c) 条、第 5(1)(e) 条 |
| 代为处理的服务方 | 第二十一条 委托处理 | 第 28 条 处理者，须签订数据处理协议 |
| 安全措施 | 第五十一条，列明加密、去标识化 | 第 32 条，列明假名化和加密 |
| 安全事件 | 第五十七条：立即补救并通知部门和个人，条文未写具体时限 | 第 33 条：有风险时尽可能在 72 小时内通知监管机构；第 34 条：高风险时通知个人 |
| 加密后的通知豁免 | 措施能有效避免危害的，可以不通知个人（部门可要求通知） | 第 34(3)(a) 条：数据经加密等方式无法被识读时，可不通知个人 |
| 跨境传输 | 第三十八至四十条；2024 年《促进和规范数据跨境流动规定》 | 第 44 至 49 条：充分性认定、标准合同条款等 |
| 最高罚款 | 五千万元以下或上一年度营业额 5% 以下 | 2000 万欧元或全球年营业额 4% |
需要注意：第五十七条本身没有写明小时数，但其他行业规定或网络安全方面的规定可能另有报告要求，应以适用于你的规定为准。欧盟方面，欧盟委员会 2025 年 11 月提出的“数字综合方案”（Digital Omnibus）提议把 GDPR 的通知期限改为 96 小时，截至 2026 年 10 月尚未通过。
发送个人信息，更省心
默认托管在欧洲，免费版就有有效期、密码、下载次数限制和端到端加密。
清单：怎么选择传输服务
- 有清楚的隐私政策和服务条款，说明数据用途、保存期限和使用的第三方服务商。
- 写明存储地点，并且你清楚这对个人信息出境意味着什么。
- 传输和存储都加密，敏感文件可选端到端加密。
- 有有效期和到期自动删除、密码、下载次数限制。
- 发送端有访问控制：双重验证、团队角色。
- 文件发错人时能立即删除传输。
清单：怎么合规地使用
第 1 步
最少化
只发收件人需要的文件和信息，其余部分打码或删除。
第 2 步
保护
密码通过另一个渠道发送；医疗健康、金融账户等敏感个人信息和身份证件，使用端到端加密。
第 3 步
限时
选择较短的有效期，下载次数与收件人人数一致。
第 4 步
核对收件人
仔细核对邮箱地址，发错人是数据事故的典型来源。
第 5 步
清理
删除不再需要的本地副本和已发送的附件。
第 6 步
记录
把使用的工具纳入影响评估和处理记录，内部规定写得简短、让每个人都知道。
文件发错人了怎么办？
立即撤销链接，查看文件是否已被下载，评估对相关个人可能造成的影响。按照第五十七条，发生或者可能发生个人信息泄露、篡改、丢失的，处理者应当立即采取补救措施，并通知履行个人信息保护职责的部门和个人；通知应当包括涉及的信息种类、原因和可能造成的危害，已采取的补救措施和个人可以采取的减轻危害的措施，以及处理者的联系方式。预防措施见文件安全发送清单。