Article 39

数据处理者对涉及个人信息的数据应当加密储存，不得采取一揽子授权、强制同意等方式处理个人信息，不得擅自变更数据授权用途，法律、行政法规另有规定的，从其规定。

数据处理者因合并、分立、解散、被宣告破产等主体资格变化，或者因合同解除、终止等因素，需要转移个人信息数据的，应当履行告知义务；接收方应当继续履行数据处理者的义务，需变更原先的处理目的、处理方式的，应当重新取得个人同意。

履行个人信息保护和数据安全管理职责的部门应当建立数据监管相关的投诉、举报制度，收到投诉、举报后及时依法处理，并对相关信息予以保密。