上百行的隐私政策没人读，读完也看不懂——这是多数人对「告知」的体感。但个人信息保护法第十七条给个人信息告知义务定的是硬标准：处理前就要告知，要用显著方式、清晰易懂的语言，要真实、准确、完整，还要把处理规则公开出来便于查阅和保存。告知不是免责工具，而是用户行使后面那串权利（查阅、更正、删除、撤回同意）的地图。本文把第十七条逐款拆开：四项法定告知内容、三项质量要求、可以不告知的例外，以及隐私政策变更时的正确动作。
先看这三个要点
- 处理前告知：告知发生在处理之前，不是出了事再补；四类事项——谁在处理、为何处理、存多久、你怎么行使权利——一项不能缺。
- 清晰易懂是硬标准：小字、嵌套、专业黑话堆砌，可能被认定为未有效告知；处理规则要公开、便于查阅和保存。
- 变更要再告知：处理目的、方式、信息种类有变化，变更部分单独告知，必要时重新取得同意。
一、条文原文
- 《中华人民共和国个人信息保护法》第十七条
- 个人信息处理者在处理个人信息前，应当以显著方式、清晰易懂的语言真实、准确、完整地向个人告知下列事项：
- （一）个人信息处理者的名称或者姓名和联系方式；
- （二）个人信息的处理目的、处理方式，处理的个人信息种类、保存期限；
- （三）个人行使本法规定权利的方式和程序；
- （四）法律、行政法规规定应当告知的其他事项。
- 前款规定事项发生变更的，应当将变更部分告知个人。
- 个人信息处理者通过制定个人信息处理规则的方式告知第一款规定事项的，处理规则应当公开，并且便于查阅和保存。
二、四项法定内容与三项质量要求对照
| 要件 | 条文要求 | 现实中最常见的缩水 |
|---|---|---|
| 身份 | 处理者名称/姓名＋联系方式 | 只写公司全称不留渠道，或者联系方式打不通 |
| 目的与方式 | 处理目的、处理方式、信息种类、保存期限 | 目的写成「优化服务体验」的万能空话，不写保存期限 |
| 权利通道 | 行使查阅、复制、更正、删除等权利的方式和程序 | 通篇找不到行使入口，或入口形同虚设 |
| 告知时点 | 处理前告知 | 先收集后补告知，甚至出事才翻出协议 |
| 质量要求 | 显著方式、清晰易懂、真实准确完整 | 三级折叠里藏关键条款，长协议稀释重点 |
| 规则形式 | 处理规则公开、便于查阅和保存 | 版本随时改不留痕，历史版本无法查证 |
三、逐款拆解：告知义务的三个层次
第一层：告知什么。四项内容围绕一条主线——让你知道「谁在拿你的什么信息、干什么、存多久、你有啥权利」。其中「处理目的、方式、种类」要求具体到业务：注册收的是手机号、下单收的是地址，分项列明；「保存期限」是大量隐私政策漏写的一项，没有正当理由写「永久保存」基本过不了关。
第二层：怎么告知。「显著方式」意味着不能藏在第 47 页附件；「清晰易懂」意味着面向普通用户而非法务自己。同法第七条要求处理规则公开、透明，第十七条第三款进一步要求规则便于查阅和保存——版本更新要有记录，用户应当能看到改了什么。这条对用户维权很关键：判断「有没有告知」，看的正是当时的规则文本。
第三层：变更怎么办。第二款只要求「告知变更部分」，但结合第十四条，如果变更涉及处理目的、方式或信息种类的实质变化，还要重新取得同意——比如原来只做订单履约，现在要把数据用于精准营销，光更新政策不动用户同意，不合规。
四、边界与误区
- 误区一：「签了隐私政策就全被授权」。告知解决「知情」，不自动解决「同意」：敏感信息、对外提供、出境等场景，另有单独同意的要求；而且告知的内容本身也要合法，写进政策里的过度收集条款不因公示而有效。
- 误区二：「告知了就不担责任」。告知与安全义务并行：政策写得再漂亮，发生泄露照样按第五十七条补救通知，造成损害按第六十九条担责。
- 误区三：「可以永远不告知」。第十八条只划了两条例外——法律行政法规规定应当保密或不需要告知的；紧急情况下无法及时告知的（事后仍须及时补告）。商业便利不属于例外。
- 不适用：国家机关为履职处理信息另有第三十五条的告知规则（告知将妨碍履职的可不告知），但免除事由更窄。
五、延伸问答
问：隐私政策放 App 下载页算「处理前告知」吗？ 下载页展示不等于用户在处理前被告知；告知要发生在开始收集之前、用户能实际查看的位置。安装时未展示、首次启动后才补的，时点已晚；关键是在第一笔收集发生前让用户有机会读到。
问：处理者联系方式写客服电话可以吗？ 要能实际行使权利、能就信息保护问题取得联系；只有一个永远占线的客服号，与「联系方式」的立法目的不符。留专门的 privacy 邮箱、响应时限承诺，是稳妥形态。
问：保存期限写「法律法规另有规定除外」可以吗？ 前提是自己先给出一般期限。「一律以法律另有规定为准」式的写法把期限问题整体悬空，属于告知不完整；正确写法是分信息类别给期限，再列法定延长的情形。
问：政策更新后没弹窗提示，用户没看到新版本，按哪个算？ 变更部分要告知，让用户实际知悉是处理者的义务；仅更新链接、不主动提示变更内容的，变更告知没有完成。对加重用户负担的变更（新增目的、新增共享），未有效告知的部分不得据此处理。
问：历史版本没有留档会怎么样？ 第十七条第三款要求处理规则便于查阅和保存——包括版本维度。争议发生时，双方要回到「当时的规则」判断合规性，处理者拿不出对应版本文本的，其「已告知」的主张会直接打折。
问：向未成年人告知有什么特别要求？ 结合第三十一条，处理不满十四周岁未成年人信息要取得监护人同意、制定专门规则；告知文本要让监护人能看懂、能行使同意与拒绝，用未成年人口吻写「你同意啦」的界面，监护人同意环节是缺位的。
问：告知用英文或专业术语写，算「清晰易懂」吗？ 面向中国境内用户的处理，以中文浅白表述为基准；满篇法律术语、技术黑话，用户读不懂的，告知效果存疑。「清晰易懂」审查的是普通用户的理解可能性，不是法务的理解可能性。
问：电话营销前没书面告知，算违规吗？ 告知不以书面为限，但要有可回溯的形式：电话里告知目的来源、留存话术与记录也可，但实操上难以证明；正规做法是先有书面或电子告知、用户未拒绝后再外呼，顺序反了风险极高。
问：处理者的「名称」用品牌名代替公司全称行吗？ 不行。第（一）项要的是能锁定责任主体的名称与联系方式；品牌名后必须落到运营主体全称，用户维权时才知道告谁、投诉谁。只有品牌没有主体的告知，等于把责任主体藏了起来。
问：告知后用户没反对，可以直接当同意吗？ 不能一概而论。一般处理若另有所需基础（如合同必需），无需同意自然成立；靠同意支撑的处理，沉默不是同意——「已告知、未反对即视为同意」的设计，在需要同意的场景里不成立。
问：包装成「用户体验计划」的额外收集，怎么看待其告知？ 名目花哨不改变审查标准：告知仍要落到真实目的、方式、种类；以体验计划之名行扩大收集之实的，告知与处理脱节，属于名实不符的违规形态。
问：政策里写「本公司有权随时修改本政策」有效吗？ 修改权可以保留，修改程序要合法：变更部分告知、必要时重新取得同意；「随时修改且不通知」的条款，与第十七条第二款的义务直接冲突，写进去也无效。
问：政策里写「可能的合作方包括……」这类模糊列举，合规吗？ 风险很高。告知的价值在于让用户能预期、能拒绝，开放式列举等于没告知接收方；对接收方的描述至少要落到类型＋用途，共享场景更要按第二十三条落到具体主体。
问：App 内嵌的第三方页面，告知责任在谁？ 用户没有离开你的产品，感知上仍是你在处理；运营者对内嵌场景的收集要有提示与管理，第三方页面的信息收集行为纳入你的合规视野，而不是一句「由第三方负责」了事。
问：告知与同意的界面可以合并吗？ 告知可以展示在授权页，但两者逻辑不同：告知是义务、同意是行为；一般场景可以「看完即勾」，需要单独同意的场景必须拆出独立确认。把告知页做成同意页，最容易混掉的就是敏感信息那几关。
问：用户投诉「没看到告知」，企业怎么自证？ 靠三样：页面版本记录、展示时点的日志、用户交互痕迹；拿不出这三样的，自证基本失败。告知义务的合规成本不在写文案，而在把「确实展示过」留成可验证的证据链。
六、实操建议：两头的自查清单
企业侧：拿四项法定内容逐项对照自家政策，缺「保存期限」和「权利行使程序」的先补上；关键条款放显著位置，历史版本留档可查；每次业务调整先过一遍「是否触发变更告知/重新同意」。
个人侧：用 App 前翻到「处理目的、保存期限、权利入口」三处，找不到就按第十七条质疑；对方以「你同意过」为由拒绝删除或撤回的，指出同意与告知是两回事，权利入口缺失本身即是违规点。
站内《App 过度收集个人信息：怎么用删除权和注销权让 App 放手》《App 违规收集个人信息去哪投诉：网信工信渠道与下架机制》《平台收集你的个人信息，网安法划了四条线》对后续维权有专文，可对照使用。
一句话总结：告知义务的标准是「处理前、显著、易懂、真实、完整、可查证」四项内容一个不缺——隐私政策写得让人看不懂，本身就可能是违规的第一块多米诺。
以上内容为一般性法律知识介绍，不构成正式法律意见。具体案件请结合隐私政策文本与处理场景，咨询执业律师后主张。