个人信息处理

一句话定义：个人信息处理，指对个人信息进行的收集、存储、使用、加工、传输、提供、公开、删除等全部环节；它是个人信息保护法所有义务与责任的触发点——一旦构成处理，合法性基础、告知义务、同意规则便一并启动。

构成要件

一、行为范围涵盖八个环节。 民法典第一千零三十五条第二款列举收集、存储、使用、加工、传输、提供、公开等，个保法第四条第二款另增删除。处理不等于「使用」：存着不动、转给关联公司、公开展示、到期未删除，都构成独立的处理行为。

二、基本原则：合法、正当、必要、诚信。 民法典第一千零三十五条第一款要求遵循合法、正当、必要原则，不得过度处理；个保法第五条增加诚信原则，明确不得通过误导、欺诈、胁迫等方式处理个人信息。捆绑授权、默认勾选、以拒绝服务相要挟，都属违反诚信的取得方式。

三、目的限制与最小范围。 个保法第六条第一款要求目的明确、合理，采取对个人权益影响最小的方式；第二款要求收集限于最小范围。手电筒应用读取通讯录、导航软件索取相册权限，问题就出在「与目的不直接相关」。

四、公开透明与事前告知。 个保法第七条确立公开、透明原则，第十七条把它具体化：处理前以显著方式、清晰易懂的语言，真实、准确、完整地告知处理者名称与联系方式、处理目的与方式、信息种类与保存期限、个人行使权利的方式和程序以及其他法定事项。

五、合法性基础是第一道门槛。 个保法第十三条第一款列出七项：取得个人同意；为订立履行合同或依法实施人力资源管理所必需；为履行法定职责或者法定义务所必需；为应对突发公共卫生事件或紧急情况下保护生命健康和财产安全所必需；为公共利益实施新闻报道、舆论监督等在合理范围内处理；在合理范围内处理已合法公开的个人信息；法律、行政法规规定的其他情形。

六、同意的质量有独立标准。 个保法第十四条第一款要求同意在充分知情的前提下自愿、明确作出，法律规定应取得单独同意或者书面同意的从其规定；第二款规定处理目的、方式或信息种类变更的，应当重新取得同意。旧同意覆盖不了新增的目的。

七、民法典从人格权编另设四项条件。 第一千零三十五条第一款要求征得该自然人或者其监护人同意（法律、行政法规另有规定的除外）、公开处理信息的规则、明示处理的目的方式和范围、不违反法律行政法规的规定和双方约定。四项须同时满足。

八、同意可撤回，但只向后生效。 个保法第十五条第一款要求处理者提供便捷的撤回方式；第二款明确撤回同意不影响撤回前已进行的处理活动的效力。撤回不等于删除，二者要分别行使。

九、免责情形另有清单。 民法典第一千零三十六条规定三项不承担民事责任的情形：在同意范围内合理实施；合理处理自行公开或者已合法公开的信息（明确拒绝或侵害重大利益的除外）；为维护公共利益或者该自然人合法权益合理实施的其他行为。

八个环节，各有各的义务

法条把处理拆成收集、存储、使用、加工、传输、提供、公开、删除八个环节。多数人只盯着「收集」，以为不收集就没事；实际上每一个环节都独立受规制，链条上任何一环失守，都可能单独构成违法。下面逐环说清义务与常见问题。

收集：入口决定后面的全部合法性

收集是整条链的起点，也是最容易出问题的一环。三个判断。

第一，有没有合法性基础。七项法定情形至少落一项，否则收集本身即违法。以「用户没拒绝」代替同意，不成立；以「行业都这么干」代替法律依据，也不成立。

第二，是不是最小必要。依第六条，收集应当限于实现处理目的的最小范围。判断的方法是「不收集这一项，功能还能不能实现」。天气应用不需要通讯录，扫码点单不需要身份证号，停车缴费不需要人脸。凡是否定回答的，都是过度收集。

第三，有没有告知。收集时就要告知，不能先收集后补告知。实践中常见的「注册即视为同意」、隐私政策只在官网角落挂一个链接、App 首次打开默认勾选，都不符合「显著方式、清晰易懂」的要求。

一个容易被忽略的点：间接收集。从第三方购买、交换、爬取个人信息，同样属于收集，同样需要合法性基础。买来的数据包不能因为「卖家说合法」就免责。

存储：期限与安全

存储环节的两项核心义务是期限与安全。

期限方面，依第十九条，保存期限应当为实现处理目的所必要的最短时间；法律、行政法规另有规定的除外。这一条落实得极差。多数企业的做法是「永久保存」，理由是「说不定以后有用」——这恰恰不构成「必要」。

安全方面，依第五十一条，应当采取加密、去标识化等安全技术措施，制定内部管理制度与操作规程，对个人信息实行分类管理，制定应急预案。发生泄露的，依第五十七条立即采取补救措施并通知监管部门与个人。

这里有一个举证上的关键点：泄露案件里，处理者要证明自己没有过错，靠的就是这些安全措施的记录。日志留多久、访问权限怎么分配、加密做到什么程度、员工培训有没有做，平时不记录，出事时一句也拿不出来。

使用：目的限制是硬约束

使用是最宽泛的环节，也是最难界定的。核心约束是目的限制：依第六条，处理应当与处理目的直接相关。

什么叫「直接相关」，实务中的判断方法是：这个用法在收集时的告知里能不能被合理预见。为配送而收集的地址，用于配送是直接相关；用于分析该小区的消费能力做广告投放，就不直接相关。为注册而收集的手机号，用于登录验证是直接相关；用于向第三方营销公司共享，不直接相关。

「与第三方共享」是最常见的越界。很多隐私政策里写着「我们可能与合作伙伴共享您的信息」，这种概括授权不构成有效同意，也不构成合法性基础。

加工：算法与画像的边界

加工包括清洗、比对、聚合、建模、生成画像。这一环的特殊性在于，它的产物往往比原始数据更具侵入性——零散信息加工成画像之后，能推断出健康状况、收入水平、政治倾向、性取向，这些推断结论同样属于个人信息。

依第二十四条，利用个人信息进行自动化决策的，应当保证决策的透明度和结果公平、公正，不得对个人在交易价格等交易条件上实行不合理的差别待遇；通过自动化决策方式进行信息推送、商业营销，应当同时提供不针对其个人特征的选项，或者提供便捷的拒绝方式；作出对个人权益有重大影响的决定，个人有权要求说明，并有权拒绝仅通过自动化决策的方式作出决定。

「大数据杀熟」落在这条上。举证难点是「怎么证明价格差异是针对我个人的」，可行的方法是多人同条件比价、留存不同账号的截图、要求平台说明定价规则。

传输：境内与跨境是两套规则

境内传输主要受安全义务约束，采加密、专用通道等措施即可。

跨境传输是另一套体系。依第三十八条，向境外提供个人信息须满足四项条件之一：通过国家网信部门组织的安全评估；经专业机构进行个人信息保护认证；与境外接收方订立标准合同；法律、行政法规或者网信部门规定的其他条件。第三十九条另要求向个人告知境外接收方的名称、联系方式、处理目的与方式、信息种类以及行使权利的方式和程序，并取得单独同意。

实务中容易出错的是「看起来不像出境」的情形：境外总部的 HR 系统、境外服务器托管、使用境外云服务、外籍员工远程访问境内数据库，都构成出境。

提供：三种关系必须分清

「给别人用」在法律上有四种形态，义务完全不同，混为一谈是最常见的合规事故。

委托处理，指委托方委托受托方处理，受托方只能按委托方的指示处理，不得超出约定。依第二十一条，双方应约定处理目的、期限、方式、信息种类、保护措施与权利义务；受托方不得超出约定处理，委托关系解除后应当返还或删除。受托方擅自改变目的，视为独立的处理者。

对外提供，指把个人信息提供给另一个独立决定处理目的与方式的主体。依第二十三条，应当向个人告知接收方的名称、联系方式、处理目的、方式与信息种类，并取得单独同意；接收方应当在上述范围内处理，变更目的或方式的应重新取得同意。

共同处理，指两个以上处理者共同决定处理目的与方式。依第二十条，应当约定各自的权利义务，但该约定不影响个人向其中任何一个处理者要求行使权利。

公开，指向社会不特定人发布。依第二十五条，应当取得单独同意，法律行政法规另有规定的除外。

四种形态的关键差别在「谁决定目的」与「要不要单独同意」。企业把「委托技术服务商处理数据」说成「委托处理」来规避单独同意，如果服务商实际可以自主决定用途，法律上仍按对外提供认定。

公开与删除：两个最容易被忽略的终点

公开的义务前已述及。删除是链条的终点，也是权利实现的关键。

依第四十七条，有下列情形之一的，处理者应当主动删除：处理目的已实现、无法实现或者为实现处理目的不再必要；停止提供产品或者服务，或者保存期限已届满；个人撤回同意；处理者违反法律、行政法规或者约定处理；法律、行政法规规定的其他情形。处理者未删除的，个人有权请求删除。

「主动删除」四个字很重要。这意味着删除不是等用户来要，而是处理者自己应当做的事。账号注销后数据还留着、促销活动结束后收集的信息继续存在、离职员工的信息长期保存，都是违反主动删除义务。

技术上做不到即时删除的，应当停止除存储和采取必要安全保护措施之外的处理。这一点常被用来解释「备份数据删不掉」，但解释成立的前提是「确实停止了其他处理」，而不是「备份照样被调用」。

法条依据

与相邻概念的区别

最容易混的是「一般同意」与「单独同意」。一般同意可以在一揽子隐私政策中取得，只要满足充分知情、自愿、明确；单独同意要求就特定事项单独作出意思表示，把敏感个人信息的处理夹在长篇隐私政策里让用户一次性勾选，不构成单独同意。这是企业最高频的合规漏洞，也是个人维权最容易找到的突破口。

次容易混的是「同意」与「其他合法性基础」的关系。第十三条第二款说得很清楚：法律规定应当取得同意的，只要有第二项至第七项情形之一的，就不需要取得同意。二者并列而非补充——能用合同必需、法定职责支撑的，不必再取同意；但取得同意也不能跳过告知义务与最小范围要求。

七项合法性基础，逐项看边界

第十三条第一款列了七项，只要落入其中一项，处理就不需要取得同意。但每一项都有边界，企业最常犯的错是把边界当成敞口。

第一项：取得个人同意

这是最常用的一项，也是质量最差的一项。有效的同意需要同时满足四个条件：充分知情（告知义务已履行）、自愿（不存在胁迫与捆绑）、明确（不是默示、不是沉默、不是「继续使用即视为同意」）、具体（针对特定的处理目的与范围）。

「不同意就不给用」在什么情况下算胁迫？第十六条给了答案：处理个人信息属于提供产品或者服务所必需的，可以要求；不属于必需的，不得以拒绝提供为由强制。所以一款记事本 App 要求获取通讯录权限，用户拒绝后就无法使用——这是违法；一款通讯 App 要求获取通讯录才能加好友——这可能属于必需，但仍须提供「手动添加」的替代方案。

第二项：合同必需与人力资源管理必需

这一项分两段。前半段是「为订立、履行个人作为一方当事人的合同所必需」。关键词是「必需」。网购要收货地址，属于必需；网购要身份证号，除特殊商品（如处方药、跨境购）外，不属于必需。

后半段是「按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需」。三个限定：规章制度须依法制定（经民主程序、已公示）、限于人力资源管理、须为必需。企业据此可以处理考勤、薪酬、社保、绩效、岗位资质；不能据此收集员工病历全文、私人社交账号、家庭成员详细信息、非工作时间的行踪。

第三项：法定职责与法定义务

国家机关履行法定职责可以处理，企业履行法定义务也可以处理。比如金融机构依反洗钱法核实客户身份、网络平台依网络安全法要求用户提供真实身份信息、用人单位依社保法申报缴费。

边界在于「法定」二字。必须有明确的法律、行政法规依据，部门规章、地方性文件、行业惯例都不能单独作为依据。且处理范围限于履行该义务所必需，不能借「履行法定义务」之名扩大收集。

第四项：突发公共卫生事件与紧急情况

为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需，可以处理。

这一项在疫情期间被大量使用，也出现了不少越界。判断的标准是「必要且相称」：目的是否正当、手段是否必要、范围是否限于事件相关、事件结束后是否及时停止与删除。以防疫为名长期保留健康信息、把流调数据用于其他管理目的，都超出了这一项。

第五项：新闻报道与舆论监督

为公共利益实施新闻报道、舆论监督等行为，在合理的范围内可以处理个人信息。这一项要与民法典第九百九十九条、第一千零二十五条、第一千零三十六条第三项一起看，构成一个完整的合理使用规则。

边界有三条：须为公共利益，不是所有「读者爱看」的内容都叫公共利益；须在合理范围内，与事件无关的个人信息（住址、病历、家庭成员、未成年子女信息）不得披露；不得捏造歪曲、不得使用侮辱性言辞。

第六项：已合法公开的信息

依照本法规定在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息，不需要取得同意。

这一项最容易被误用。「已经公开」不等于「可以随便用」，理由有三。第一，「合理范围」是限定的，超出即违法；第二，民法典第一千零三十六条第二项附有但书，个人明确拒绝或者处理侵害其重大利益的除外；第三，把零散公开的信息汇聚成完整画像，本身就已经超出合理范围。

企业爬取公开数据做数据库、做营销名单，多数栽在第三点上。

第七项：法律、行政法规规定的其他情形

这是一个兜底项，但限定为「法律、行政法规」，不包括部门规章与地方性法规。这一点在实务中常被忽略：某个部门规章规定了可以处理的情形，严格说不构成这一项，仍需回到其他六项找依据。

不需要同意，不等于不需要告知

这是最普遍的一处误解，需要单独强调。第十三条第二款解决的是「要不要同意」，第十七条解决的是「要不要告知」，两条规则独立适用。

所以即便是依合同必需、法定职责处理，仍然要履行第十七条的告知义务：处理者名称与联系方式、处理目的与方式、信息种类与保存期限、个人行使权利的方式和程序。只有法律、行政法规规定应当保密或者不需要告知的，才可以不告知。

告知怎么写才算合格

第十七条给的是内容清单，实务中还须满足形式要求。

内容四项，缺一不可

第一项是处理者的名称或者姓名与联系方式。很多隐私政策只写一个邮箱，没有具体名称与地址，个人想行使权利都找不到主体，这不符合要求。

第二项是处理目的、处理方式、处理的个人信息种类、保存期限。保存期限是最高频的缺失项，几乎所有被通报的 App 都存在这个问题。写「长期保存」「必要时保存」都不算明确，应当写明具体期限或者确定期限的方法。

第三项是个人行使权利的方式和程序。查阅、复制、更正、删除、撤回同意、注销账号、投诉，每一项的入口在哪、需要什么材料、多久处理，都要写清楚。

第四项是法律、行政法规规定应当告知的其他事项。比如向境外提供的，还要告知境外接收方的情况；处理敏感个人信息的，还要告知必要性与对个人权益的影响。

形式三条硬要求

显著方式，指不能藏在多层链接之后、不能用灰色小字、不能只在网站页脚。首次使用时以弹窗、单独页面呈现，是通行的做法。

清晰易懂，指不用法律术语堆砌，用普通人能读懂的语言。把「我们可能向合作伙伴提供您的信息」写成一句话概括，就不清晰易懂——应当写明是哪类合作伙伴、提供哪些信息、用于什么目的。

真实、准确、完整，指写的内容与实际做的一致。这一条是执法检查的重点：隐私政策写「不收集位置信息」，实际却在后台读取，属于虚假告知，比不告知更严重。

事项变更要再告知

第十七条第二款：前款规定事项发生变更的，应当将变更部分告知个人。变更了处理目的、增加了信息种类、延长了保存期限、更换了接收方，都要再告知。仅在隐私政策页面悄悄更新版本号，不构成告知。

违规处理的三层后果

民事后果

依第六十九条，处理个人信息侵害个人信息权益造成损害，处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任。这是过错推定，举证责任在被告一方。

赔偿数额按个人因此受到的损失或者处理者因此获得的利益确定；两者都难以确定的，由法院根据实际情况确定。实务中个人拿到的赔偿通常不高，但请求停止侵害、删除、更正的价值往往更大。

行政后果

依第六十六条，违法处理个人信息，由履行个人信息保护职责的部门责令改正、给予警告、没收违法所得；拒不改正的，并处一百万元以下罚款；对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款。

情节严重的，由省级以上部门责令改正、没收违法所得，并处五千万元以下或者上一年度营业额百分之五以下罚款，并可以责令暂停相关业务、停业整顿、通报有关主管部门吊销相关业务许可或者吊销营业执照；对直接负责的主管人员和其他直接责任人员处十万元以上一百万元以下罚款，并可以决定禁止其在一定期限内担任相关企业的董事、监事、高级管理人员和个人信息保护负责人。

这个幅度是相当重的，也是近年企业合规投入增加的主要原因。

刑事后果

情节严重的，构成刑法第二百五十三条之一的侵犯公民个人信息罪。单位犯罪的对单位判处罚金，并对直接负责的主管人员和其他直接责任人员按自然人标准处罚。

另外还有两条容易被忽略的罪名：网络服务提供者拒不履行信息网络安全管理义务，经监管部门责令改正而拒不改正，致使用户信息泄露造成严重后果的，构成拒不履行信息网络安全管理义务罪；设立用于实施非法获取、出售、提供个人信息活动的网站、通讯群组，情节严重的，构成非法利用信息网络罪。

怎么判断自己的情况走哪条线

要求删除、更正、查阅复制、停止处理，直接行使个人权利，不需要先起诉。

要求赔偿且金额明确的，走民事诉讼。注意先固定损失，包括被诈骗金额、公证费、律师费、误工损失。

内容正在传播的，先发平台通知，同时行政投诉。

涉及信息买卖、敲诈勒索、威胁人身安全的，直接报警。

举证：处理者要自证什么

这一类案件的举证结构，比多数人想的对个人有利。个人要证的是三件事：信息被处理了、自己受损了、两者有条件关系。处理者要证的是：有合法性基础、履行了告知、同意有效、范围必要、安全措施到位、没有过错。

这六项，处理者通常拿不出完整记录。所以诉讼中的实用策略不是去证明对方怎么违法，而是书面要求对方说明与提供材料，对方的沉默与推诿本身就成为证据。

具体可以做四件事。

一是书面行使查阅复制权，要求提供处理的目的、方式、信息种类、保存期限、接收方情况。保存邮寄凭证与签收记录。

二是要求解释说明处理规则，把隐私政策里含糊的表述逼成具体回答。

三是要求提供影响评估报告。依第五十六条，影响评估报告与处理情况记录应当至少保存三年。要求提供时，对方拿不出来，就是一个明确的问题。

四是向监管部门投诉，借助调查获取材料。监管部门的调查笔录、责令改正通知书，可以在民事诉讼中作为证据提交。

实操指引

• 第一步，把处理活动画成流程图。 从采集入口到最终删除，逐环节标注采什么字段、存多久、谁在用、给谁、是否公开、何时删除。

• 第二步，为每个环节选定合法性基础。 能落合同必需、法定职责等情形的直接标注；只能靠同意的标记为需同意；属敏感个人信息或对外提供的，标记为需单独同意。六种无需同意情形的边界见不经同意也能用你的个人信息？六种合法情形与企业最容易踩的两个坑。

• 第三步，按第十七条写告知。 处理者名称与联系方式、目的与方式、信息种类与保存期限、行使权利的方式和程序四项都要有；事项变更的要再告知变更部分；以处理规则方式告知的，规则应公开并便于查阅和保存。隐私政策的真实边界见隐私政策该写什么：个保法第十七条告知义务的真实边界。

• 第四步，审查同意的有效性。 是否存在默认勾选、捆绑授权、不授权就不能用；目的是否变更而未重新取得同意；敏感个人信息是否走了单独同意。任何一项为否，同意即不成立。

• 第五步，建立撤回与删除的响应机制。 提供便捷的撤回同意方式，撤回后停止相应处理；同时按保存期限届满、目的实现、停止服务等情形主动删除。这一块与权利人的各项请求直接对接，见个人信息权益。

• 第六步，做影响评估并留存记录。 处理敏感个人信息、自动化决策、对外提供或公开、向境外提供以及其他对个人权益有重大影响的活动，应当事前进行个人信息保护影响评估并记录处理情况。留痕本身就是日后自证合规的证据。

常见问题

不点「同意」就不让用 App，这样取得的同意有效吗？

通常无效。同意须自愿作出，以拒绝提供服务相要挟、把基本功能与数据收集捆绑，属于违反诚信原则的取得方式。若该功能确属履行合同所必需，可直接援引第十三条第二项。

三年前勾选过一次，后来新增了处理目的，还需要重新取得同意吗？

需要。第十四条第二款明确规定，处理目的、处理方式或者处理的个人信息种类发生变更的，应当重新取得同意。旧同意只覆盖当时告知的范围。

把用户信息提供给合作方，需要单独同意吗？

需要。向其他个人信息处理者提供个人信息的，应当告知接收方的名称或者姓名、联系方式、处理目的、处理方式和个人信息的种类，并取得单独同意；接收方应在上述范围内处理，变更目的或方式的应重新取得同意。

公司让我签一份「个人信息处理同意书」，不签就不给入职，这同意有效吗？

要分内容看。如果是入职所必需的信息（身份核验、社保申报、工资发放、岗位资质），依第十三条第一款第二项，本来就可以基于人力资源管理所必需处理，不需要靠这份同意书；如果是超出必需范围的内容（家庭成员详细信息、私人社交账号、非工作时间的行踪、完整病历），用「不签就不入职」迫使同意，属于以拒绝提供劳动条件相要挟，同意的自愿性不成立。此外，同意可以随时撤回，撤回后公司应当停止相应处理，不能以「签过字」为由拒绝。

App 说「不同意隐私政策就无法使用」，这合法吗？

要看收集的是不是必需信息。依第十六条，处理个人信息属于提供产品或者服务所必需的，可以要求；不属于必需的，不得以个人不同意或者撤回同意为由拒绝提供产品或服务。所以基础功能与必要信息捆绑，可以；把个性化推荐、广告追踪、通讯录上传这些非必需项与基础功能捆绑，不行。判断的方法是：拒绝这一项之后，产品还能不能正常用。

公司把客户名单交给外包客服公司，需要客户同意吗？

要看是委托处理还是对外提供。外包客服按公司的指示、在约定范围内处理，属于委托处理，依第二十一条不需要取得单独同意，但应当订立委托合同、约定处理目的与期限、监督受托方的处理活动；外包公司如果可以把数据用于自己的目的（比如自己拿去营销），就构成对外提供，依第二十三条须告知并取得单独同意。合同名称写「委托」不影响实质判断，关键看谁决定处理目的。

我在平台上注销了账号，平台说数据要保留六个月才能彻底删除，合理吗？

要看保留的理由。为履行法定义务（如网络日志留存、交易记录保存）而保留，有依据；以「系统限制」「技术原因」为由笼统保留，不符合第十九条最短必要期限的要求。依第四十七条，处理目的已实现、无法实现或者不再必要的，应当主动删除；技术上难以即时删除的，应当停止除存储和必要安全保护之外的处理。可以书面要求说明保留的法律依据与具体期限，并向网信部门投诉。

处理已公开的信息，是不是就不用管了？

不是。第十三条第六项限定在「合理的范围内」，民法典第一千零三十六条第二项还附有但书：权利人明确拒绝或者处理该信息侵害其重大利益的除外。把分散的公开信息汇聚成完整画像，往往已超出合理范围。