场景
苏州工业园区一家做智能客服的科技公司，去年上线了一套对话系统。为了“让模型更懂本地用户”，产品经理让技术团队把过去两年积累的客户聊天记录整理成训练语料，其中包含用户姓名、手机号、住址、身份证号后四位，甚至有几段客户在对话里提到的病史和用药情况。整理过程中没有人做去标识化，也没有单独告知用户。后来一名离职员工把这份语料包的目录截图发到了行业群里，有用户看到自己的手机号出现在截图中，向公司投诉，协商未果后起诉到法院，主张公司违法处理敏感个人信息，要求删除、赔礼道歉并赔偿损失。公司负责人觉得很委屈：数据是自己业务中产生的，用来优化自家系统，怎么就成了违法处理？
这个场景在苏州并不罕见。苏州数字经济企业密集，涉及个人信息、尤其是敏感个人信息的纠纷逐年增多。法院通常怎么判，取决于几个关键事实：处理的是不是敏感个人信息、有没有取得单独同意、告知是否充分、处理是否“必要”。
法律规定
先厘清概念。《个人信息保护法》第4条界定了个人信息的范围，第28条进一步规定，一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息属于敏感个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。第29条明确，处理敏感个人信息应当取得个人的单独同意；法律、行政法规规定应当取得书面同意的，从其规定。第30条要求向个人告知处理敏感个人信息的必要性以及对个人权益的影响。
告知义务方面，第17条规定处理个人信息前应当以显著方式、清晰易懂的语言真实、准确、完整地告知处理者名称、处理目的、处理方式、信息种类、保存期限以及个人行使权利的方式和程序。第14条对同意作出要求：同意应当由个人在充分知情的前提下自愿、明确作出。
处理规则上，第6条要求具有明确、合理的目的，与处理目的直接相关，采取对个人权益影响最小的方式，收集个人信息应当限于实现处理目的的最小范围，不得过度收集。第13条列举了处理个人信息的合法性基础，包括取得个人同意、订立或履行合同所必需、履行法定职责或义务所必需等。
涉及对外提供和自动化决策的，第23条规定向其他处理者提供个人信息应当告知并取得单独同意；第24条对自动化决策提出透明度和结果公平要求。第21条针对委托处理，要求约定处理目的、期限、方式、信息种类、保护措施及双方权利义务，并进行监督。第31条专门规定处理不满十四周岁未成年人个人信息应当取得父母或其他监护人的同意，并制定专门的处理规则。第38、39条涉及跨境提供，第39条要求向个人告知境外接收方情况并取得单独同意。
此外，《数据安全法》第21条建立数据分类分级保护制度，第27条要求建立健全全流程数据安全管理制度，第29条要求发生安全事件立即处置并告知、报告。《网络安全法》第41、42条对收集使用个人信息的原则和不得泄露、篡改、毁损作出规定。《生成式人工智能服务管理暂行办法》第7、9、11条则要求训练数据来源合法、不侵害他人权益，服务提供者承担网络信息内容生产者责任，并对使用者进行实名认证等。
法院实务怎么判
结合苏州法院公开裁判文书的常见审理思路，这类案件的审查通常围绕几个层次展开，个案会有差异。
第一层，涉案信息是否构成敏感个人信息。聊天记录里出现病史、用药、身份证号，法院一般会结合信息内容、结合场景判断其是否属于第28条列举的类型。手机号、住址单独看未必是敏感信息，但与病史组合后，识别性和危害性明显上升，法院倾向于整体评价。
第二层，有没有取得单独同意、告知是否充分。这是败诉高发点。企业常拿一份笼统的隐私政策说“用户同意了”，但法院会看：处理敏感个人信息有没有单独弹出的同意、有没有单独说明必要性和影响。用一份打包式授权覆盖所有处理场景，通常难以被认定为第29条要求的单独同意。
第三层，处理是否“必要”、是否超出最小范围。把两年全量聊天记录拿去训练模型，法院通常会追问：实现优化目的，是否必须保留姓名、手机号、身份证号？能否去标识化？如果技术上完全可以脱敏却未做，容易被认定违反第6条的最小必要原则。
第四层，损害与责任。个人信息侵权案件中，原告对损害后果的举证往往困难，法院会结合信息类型、泄露范围、是否造成实际骚扰或财产损失综合判断。对于违法处理敏感个人信息，法院可能支持删除、赔礼道歉等请求；赔偿数额则结合过错程度、影响范围等因素酌定，不会一概支持高额索赔。
需要说明的是，苏州法院在审理中比较重视企业是否建立了合规制度、是否履行了告知和同意程序、事后是否及时补救，这些都会影响责任认定。
边界与例外
并非所有处理敏感个人信息的行为都违法。第13条列明的合法性基础中，为履行法定职责或义务所必需、为应对突发公共卫生事件或紧急情况下为保护自然人的生命健康和财产安全所必需等情形，可以不依赖同意。第6条的“必要”也不是越少越好，而是与目的直接相关、影响最小。
另一个边界是匿名化。经过匿名化处理、无法识别特定自然人且不能复原的信息，不属于个人信息，第4条对此有明确。企业如果能在训练前完成真正的去标识化、匿名化，合规压力会显著下降。但要注意，简单删除姓名字段不等于匿名化，通过其他字段仍能重识别出来的，法院仍可能认定为个人信息。
还有委托处理和对外提供的区分。第21条的委托处理不必然需要单独同意，但第23条的对外提供需要告知并取得单独同意，两者不能混用。
普通人能怎么做
如果你怀疑自己的敏感个人信息被某家公司违法处理，可以先做几件事：一是固定证据，截图、录屏、保存聊天记录和隐私政策版本；二是依据第45条向企业查阅、复制自己的个人信息，依据第46、47条要求更正、删除；三是依据第50条要求企业说明处理规则、提出投诉。企业拒绝或拖延的，可以向网信、市场监管等部门反映，也可以提起诉讼。诉讼中重点主张处理是否取得单独同意、告知是否充分、处理是否必要。
律师温馨提示
董坤律师在苏州执业，长期处理数据合规与个人信息保护相关事务，参与过企业个人信息处理规则梳理、敏感个人信息单独同意机制设计、数据出境合规评估以及相关争议的应对，熟悉本地企业的业务形态和法院审理这类纠纷时关注的事实要点。如果你所在的企业正在做模型训练、客户数据二次利用，或者你个人遇到了信息被不当处理的情况，建议尽早把处理目的、信息类型、同意链条和脱敏措施这几件事理清楚，再决定下一步怎么走。