Article 41

处理个人信息，应当遵循合法、正当、必要、诚信原则，不得以误导、欺诈、胁迫等方式处理个人信息。

处理个人信息应当具有明确、合理的目的，并应当与处理目的直接相关，采取对个人权益影响最小的方式。收集个人信息，应当限于实现处理目的的最小范围，不得以概括式授权等方式过度收集个人信息。

处理生物识别等敏感个人信息的，应当取得个人的单独同意；法律、行政法规规定处理敏感个人信息应当取得书面同意的，从其规定。基于个人同意处理个人信息的，个人有权撤回其同意，个人信息处理者应当提供便捷的撤回同意的方式。