一份从2019年用到现在的隐私政策，开头引用了半页民法典条文，中间说「我们会依法保护您的个人信息」，到底收集哪些信息、存多久、找谁删，翻到最后也没个准话——这样的规则，在网络数据安全管理条例2025年1月1日施行之后，已经从「写得不好」变成了「写得不合法」。很多人搜「个人信息处理规则怎么写」「隐私政策必须包含哪些内容」「条例第21条说了什么」，这篇就把第21条的告知清单、第22条的同意规则和未成年人专门要求逐项拆开，给运营者一份能直接对照改版的写法。
先看这三个要点
- 展示形式有硬要求：第21条第一款要求处理规则集中公开展示、易于访问并置于醒目位置，内容明确具体、清晰易懂——藏二级链接、写宽泛空话都算不合格。
- 四项法定内容一项不能少：处理者名称联系方式、处理目的方式种类与敏感信息的必要性影响、保存期限及到期处理方式、行权方法和途径，条例用「包括但不限于」划了底线。
- 共享和未成年人要单独做：向第三方提供个人信息的要以清单列明接收方信息；处理不满十四周岁未成年人信息的，还要制定专门的个人信息处理规则。
一、条文原文
- 第二十一条 网络数据处理者在处理个人信息前，通过制定个人信息处理规则的方式依法向个人告知的，个人信息处理规则应当集中公开展示、易于访问并置于醒目位置，内容明确具体、清晰易懂，包括但不限于下列内容：
- （一）网络数据处理者的名称或者姓名和联系方式；
- （二）处理个人信息的目的、方式、种类，处理敏感个人信息的必要性以及对个人权益的影响；
- （三）个人信息保存期限和到期后的处理方式，保存期限难以确定的，应当明确保存期限的确定方法；
- （四）个人查阅、复制、转移、更正、补充、删除、限制处理个人信息以及注销账号、撤回同意的方法和途径等。
- 网络数据处理者按照前款规定向个人告知收集和向其他网络数据处理者提供个人信息的目的、方式、种类以及网络数据接收方信息的，应当以清单等形式予以列明。网络数据处理者处理不满十四周岁未成年人个人信息的，还应当制定专门的个人信息处理规则。
二、合规要件对照
| 要件·维度 | 条文依据 | 合格写法 |
|---|---|---|
| 展示位置 | 第二十一条第一款 | 注册页、设置页一级入口可见，不许埋在「关于我们」四级链接里 |
| 内容具体度 | 第二十一条第一款第一、二项 | 写明收集哪些字段、干什么用，敏感信息逐项说清必要性和影响 |
| 保存期限 | 第二十一条第一款第三项 | 写具体年限或明确的确定方法，禁止「依法合理保存」式空话 |
| 行权途径 | 第二十一条第一款第四项 | 列出查阅、复制、更正、删除、注销、撤回同意的具体入口或联系方式 |
| 共享清单 | 第二十一条第二款 | 以清单列明第三方接收方的名称、共享目的方式和种类 |
| 未成年人专门规则 | 第二十一条第二款 | 处理不满十四周岁信息的，单独制定儿童规则，不与通用规则混同 |
三、从「模板时代」到「清单时代」
老式隐私政策的通病，第21条逐条点名。过去大量产品把隐私政策当合规摆设：通篇抄法条、关键信息用「等」「相关」「依法」糊弄、行权途径只留一个邮箱还不回复。条例这次的写法是把「写得让用户看懂」本身变成了义务——集中公开展示、易于访问、醒目位置、清晰易懂，四个词全是可检查的客观标准。监管部门执法时不需要证明用户实际受损，展示形式不达标本身就是违法状态。
保存期限是过去最普遍的空白点。第21条第一款第三项要求写明保存期限「和到期后的处理方式」，期限难定的要写确定方法。实操上可以分三类处理：有法定保存义务的（如电商订单按税收征管要求存账簿凭证），写明法定依据和年限；业务自主决定的（如会员资料），写明注销后多少天内删除或匿名化；确实难以事先确定的（如诉讼争议数据），写明「因解决争议所必需，至争议解决后X日内删除」这类确定方法。只写「保存至用户注销账号」也行，但注销渠道必须真实可用，否则这条承诺反而成了虚假告知的证据。
共享清单把「卖给谁」晒在明面上。第二款要求向其他处理者提供个人信息时以清单形式列明接收方信息——这直接封掉了「我们可能与合作伙伴共享您的信息」这类模糊表述。清单要素至少包括：接收方名称、共享信息种类、目的和方式。接了广告SDK、统计SDK、风控服务商的产品，清单里一个都不能漏。这一条和第12条的合同义务是配套的：清单管告知，合同管约束，记录还要留存三年备查。
未成年人专门规则不是复制粘贴。处理不满十四周岁未成年人信息的，要单独制定专门规则，内容应当覆盖监护人同意的取得方式、未成年人信息的种类和用途、监护人行权途径。站内《未成年人个人信息怎么保护：不满14周岁的规则与家长的四项权利》对个保法层面的儿童保护已经讲过基础，条例第21条把「专门成文」从良好实践升格为法定义务，靠通用隐私政策里加一句话的做法不再过关。
规则写好只是第一步，改版要重新取得同意。第22条第六项规定处理目的、方式、种类发生变更的应当重新取得个人同意——隐私政策悄悄改版、旧用户被动接受新条款，是现在最常见的违规动作。正确做法是变更时弹窗提示差异点，用户不同意就按旧规则处理或停止相应功能。
这条规则的边界
- 第21条管的是「以处理规则方式告知」的情形。个保法允许的口头告知等个别告知方式不受本条约束，但批量处理的APP、网站业务实际上都走处理规则路径，所以实践中覆盖面几乎全覆盖。
- 「包括但不限于」意味着四项只是底线。涉及个性化推荐、自动化决策、人脸识别的产品，还要按第42条和个保法的要求叠加告知关闭选项等内容，只写四项未必够。
- 告知不等于同意。第21条解决「说清楚」，第22条解决「取得同意」，两个动作缺一不可；只告知未取得同意就处理，同样违规。
- 规则与实际行为必须一致。规则写了不收集位置信息，实际却读取定位的，属于超出告知范围处理，按第22条第一项超范围收集处理，告知文件本身不能洗白违规行为。
四、常见疑问快答
隐私政策写在二级页面，首页只有「隐私政策」四个字的小链接，算醒目位置吗？**
有风险。「醒目位置」按监管口径通常要求注册、登录等关键流程节点可见，纯二级小字链接在执法案例中多次被认定为展示不达标。至少要在首次启动或注册环节让用户能看到或跳转规则全文。
我们的APP没有向第三方共享数据，还要做清单吗？**
没有共享就不用做共享清单，但要如实核对——接入了统计SDK、广告SDK、地图组件的，SDK侧收集数据也常构成向第三方提供，先做技术盘点再下结论，别把「不知道」当成「没有」。
保存期限写了「不超过实现目的所必需的期限」行不行？**
不够。第21条要求期限难以确定的应当明确确定方法，「实现目的所必需」仍是模糊表述。建议落到具体场景：订单类写法定年限，会员类写注销后删除时限，争议类写争议解决后的处理时限。
五、实操建议
- 按第21条四项做逐项自查：名称联系方式、目的方式种类与敏感信息影响、保存期限与到期处理、行权途径，缺哪项补哪项；
- 做一次SDK与共享盘点：技术侧列出所有接入方，对照形成共享清单并同步更新合同义务（第12条），告知与合同两头对齐；
- 儿童产品单独立规：处理不满十四周岁信息的，把未成年人专门规则从通用政策里拆出来单独成文并置于醒目位置；
- 改版走重新同意流程：处理目的方式种类一变就触发第22条第六项，弹窗说明差异并留取同意记录，别用「继续使用视为同意」蒙混。
站内《敏感个人信息怎么保护：单独同意与严格保护的适用条件》讲了敏感信息单独同意的取得方法；《个人信息被记错了怎么办：更正权、补充权的行使与救济》从用户视角讲了行权途径的兑现，可与本篇的告知义务对照着改产品。
相关阅读
一句话总结：第21条把个人信息处理规则从「抄法条的摆设」变成了可逐项检查的法定清单——展示要醒目、四项内容要写全、共享要列清单、儿童要单独立规，运营者照表改版，比等执法上门便宜得多。
以上内容为一般性法律知识介绍，不构成正式法律意见。具体合规方案请结合产品形态，咨询执业律师后处理。