Article 40

对承载个人信息的数据，数据处理者应当按照个人授权范围依法规范开展个人信息处理活动，不得窃取或者以其他非法方式获取个人信息，不得采用一次概括授权、默认授权、强制同意等方式过度收集个人信息，不得擅自超出授权范围处理个人信息。法律、法规另有规定的，从其规定。