Article 21

经营者处理消费者个人信息的，应当遵循合法、正当、必要和诚信的原则，明示处理信息的目的、方式和范围，并依法征得消费者同意；不得从事违反法律法规、超出消费者同意范围或者与服务场景无关的消费者个人信息处理活动。经营者履行明示义务和征得消费者同意的证明资料至少留存三年。

经营者应当建立健全信息保密和信息安全管理制度，制定信息安全应急预案，确保信息安全，防止消费者个人信息泄露、丢失。在发生或者可能发生信息泄露、丢失的情况时，经营者应当立即采取补救措施，启动应急预案，依法及时通知履行个人信息保护职责的部门和消费者。