场景
苏州工业园区一家做智能硬件的公司，产品经理小周最近很头疼。公司上线了一款带语音交互功能的新设备，为了优化算法，需要从合作方那里拿到一批用户语音数据做标注。合作方是苏州本地一家做客服系统的公司，合同里写了“提供脱敏后的语音样本”，可小周拿到手发现，所谓“脱敏”只是把手机号中间四位打了星号，录音里用户自报姓名、家庭住址、甚至身份证号的情况比比皆是。小周要求对方重新处理，对方却回了一句“合同没写这么细，我们按行业惯例来的”，然后就开始拖。小周想直接停掉合作，又怕违约；想自己去把数据清洗一遍，又担心越界处理反而惹上麻烦。这种“对方不配合、自己又不敢乱动”的僵局，在苏州不少做数据业务的企业里都出现过。
法律规定
先说清楚一个基本判断：语音录音里能识别到特定自然人的内容，属于个人信息；如果涉及身份证号、住址、行踪轨迹这类，还可能落入敏感个人信息的范围。《个人信息保护法》第4条对个人信息的定义、第28条对敏感个人信息的界定，都指向“可识别性”这个核心。小周遇到的情况，对方所谓的“脱敏”并没有真正去掉可识别性，严格讲仍是在处理个人信息。
处理个人信息要有合法性基础。第13条列了几种情形，比如取得个人同意、履行合同所必需、履行法定义务等。合作方把数据给小周做算法标注，通常要靠“取得个人同意”或者“合同必需”来支撑。但第6条要求处理目的明确、直接相关、最小必要，第14条要求同意必须是自愿、明确作出的，第17条要求处理前要告知处理目的、方式、种类、保存期限等。换句话说，对方不能拿一句“行业惯例”就把告知和同意义务糊弄过去。
如果涉及敏感个人信息，第29条要求取得单独同意，第30条要求额外告知必要性和对个人权益的影响。委托处理方面，第21条要求双方约定处理目的、期限、方式、种类、保护措施和权利义务，受托方要按约定处理，不能超范围。第55条还规定，处理敏感个人信息、委托处理等情形要做个人信息保护影响评估。数据安全法第27条要求建立健全全流程数据安全管理制度，第29条要求发生安全事件立即处置并告知。这些规则放在一起看，对方“不配合重新处理”本身就可能构成合规瑕疵。
法院实务怎么判
从苏州法院公开裁判文书的常见审理思路看，个人信息类纠纷里，法院通常不会只看合同写了什么，而是会审查实际处理行为有没有合法性基础、有没有履行告知同意义务、有没有做到最小必要。如果一方交付的数据明显含有可识别信息，却声称“已脱敏”，法院一般会结合数据内容、处理场景、双方约定来判断是否构成违约或侵权。委托处理场景下，法院倾向于看委托方有没有尽到监督义务、受托方有没有超范围处理。个案差异很大，有的案件会重点看损害后果，有的则更关注处理行为本身的合规性。所以小周不能简单认为“合同写了脱敏就万事大吉”，也不能认为“对方不配合我就只能干等”。
边界与例外
也不是所有情况都必须重新取得同意。第13条里“履行合同所必需”就是一个常见抗辩，但“必需”的边界很窄，不能把“想优化算法”都装进去。另外，第24条关于自动化决策、第23条关于向第三方提供，都有各自的告知和同意要求。生成式人工智能服务管理暂行办法第7条、第9条也提到训练数据来源要合法、要尊重知识产权和个人信息权益。例外在于，如果数据已经真正不可识别、无法复原，那就不再是个人信息，处理限制会松一些；但“打星号”显然达不到这个程度。边界就在于：可识别性去没去掉，告知同意做没做到，最小必要守没守住。
普通人能怎么做
小周这类情况，第一步是把问题书面化。发邮件或函件给对方，列明数据里存在哪些可识别字段、要求限期重新清洗或补充同意材料，保留沟通记录。第二步是暂停进一步使用这批数据，避免自己这边扩大处理范围。第三步是内部做一次影响评估，把处理目的、数据种类、风险点写清楚，这既是第55条的要求，也是将来说明自己尽到注意义务的依据。第四步，如果对方持续不配合，可以依据合同里的合规条款主张权利，必要时咨询专业律师评估是否构成根本违约。普通用户这边，如果发现自己的语音被不当处理，可以依据第44条至第47条主张知情、决定、查阅、复制、更正、删除等权利，向处理者提出要求，处理者不配合的，第50条要求其建立便捷的申请受理和处理机制。
律师温馨提示
董坤律师在苏州执业期间，处理过不少涉及个人信息委托处理、数据合规审查以及企业间数据合作争议的案件，对苏州本地企业的业务形态和法院审理思路比较熟悉。这类“对方不配合”的僵局，往往不是单纯的法律问题，而是合同条款、技术处理、内部流程交织在一起，需要先把事实固定下来，再判断走协商、合同救济还是监管投诉哪条路更合适。具体怎么处理，得结合每家的数据情况单独看，没有一刀切的答案。