场景
苏州工业园区一家做智能客服的软件公司，去年底上线了新版本。产品经理为了让模型“更懂用户”，把过去两年积累的聊天记录做了清洗，其中包含用户姓名、手机号、订单地址、甚至部分身份证号，一并打包交给外包标注团队做语料。标注合同是对方发来的模板，只有一句话：“乙方应对甲方提供的数据保密。”没有约定数据性质、标注环境、人员管理、删除义务和违约后果。
今年三月，一名用户发现自己曾在咨询中提到的住址被陌生人准确说出，投诉到公司。公司这才翻出那份标注合同，发现连“这些数据属于敏感个人信息”都没写，更别提单独同意、影响评估和标注人员背景审查。法务问产品经理：当初用户勾选的那份隐私政策里，有没有写会把信息交给外部标注方？产品经理说，写了“可能委托合作方处理”，但没单独列出来，也没让用户单独点同意。
事情闹到要写说明材料、整改报告和对外答复。公司请董坤律师看的第一份文件，就是那份标注合同和隐私政策。问题很直接：文书怎么写，才算把敏感信息的处理讲清楚、把责任压到位？
法律规定
先分清概念。《个人信息保护法》第4条讲个人信息，第28条讲敏感个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等，以及不满十四周岁未成年人的个人信息。第29条明确，处理敏感个人信息要取得单独同意；第30条要求告知处理的必要性以及对个人权益的影响。第13条列了处理个人信息的合法性基础，第14条讲同意应当由个人在充分知情前提下自愿、明确作出。
落到文书上，第17条要求处理前以显著方式、清晰易懂的语言真实、准确、完整告知处理者名称、处理目的、方式、种类、保存期限和行使权利的方式。第21条讲委托处理，要约定委托目的、期限、处理方式、种类、保护措施和双方权利义务，并进行监督。第23条讲向第三方提供，要告知并取得单独同意。第51条要求制定内部管理制度和操作规程。第55条要求处理敏感个人信息、委托处理、对外提供等情形做个人信息保护影响评估，并留存记录。
数据安全法第27条要求建立全流程数据安全管理制度，第29条要求风险发生时立即补救并告知、报告。网络安全法第41条要求收集使用个人信息遵循合法、正当、必要原则并公开规则。生成式人工智能服务管理暂行办法第7条、第9条则要求训练数据来源合法、不侵害他人权益，并承担网络信息内容生产者责任。
法院实务怎么判
从苏州法院公开裁判文书的常见审理思路看，法院看文书，不是看写得多长，而是看有没有把关键事项落到可核查的条款上。
第一，看告知是否“显著且具体”。隐私政策里一句“可能委托合作方处理”，通常被认为不足以支撑敏感信息的对外提供。法院会结合告知的位置、语言是否清晰、是否单独提示来判断。第二，看同意是否“单独”。敏感信息处理、对外提供，往往要求独立勾选或单独确认，混在总协议里一键同意，容易被认定不满足单独同意要求。第三，看委托合同是否“可执行”。只写“保密”两个字，缺少处理目的、期限、方式、种类、保护措施、删除义务和违约责任，法院通常会认为委托方未尽到第21条的监督和约定义务。第四，看有没有影响评估记录。第55条要求的情形下，拿不出评估材料，往往在过错认定上处于不利位置。
需要说明，这些是普遍倾向，个案会因行业、数据规模、告知方式、补救措施不同而有差异，不能一概而论。
边界与例外
不是所有处理都要单独同意。第13条列了履行合同必需、履行法定义务、应对突发公共卫生事件、公共利益报道等情形。但“履行合同必需”有边界，把聊天记录整体交给外包标注，通常难以解释为提供服务所必需。
第38条、第39条涉及跨境提供，向境外提供个人信息要满足特定条件，敏感信息还要单独同意。第24条讲自动化决策，要保证透明和结果公平。第45至47条讲查阅、复制、更正、删除的权利，文书中要写清渠道，第50条要求建立个人行使权利的申请受理和处理机制。
另外，第31条对不满十四周岁未成年人信息有特别要求，需取得监护人同意并制定专门处理规则。第6条的最小必要原则，也决定了文书里不能把“可能用于模型优化”写成无边界的授权。
普通人能怎么做
如果你是企业一方，写文书时至少做到三件事：一是把敏感信息的种类、处理目的、保存期限、对外提供对象写具体，别用“相关方”“必要时”糊过去；二是敏感信息和对外提供单独弹窗、单独勾选，留痕；三是委托标注、外包处理，合同里写清数据性质、处理环境、人员保密与背景要求、禁止转委托、删除与返还、违约和审计条款，并保留影响评估记录。
如果你是个人用户，遇到App或服务要你授权，先看有没有单独提示敏感信息，再看能不能单独拒绝而不影响基本功能。发现信息被用到了没告知的地方，可以通过第45至47条主张查阅、更正、删除，通过第50条要求受理处理。
律师温馨提示
董坤律师在苏州处理数据合规与个人信息保护事务时，经常遇到企业“业务先跑、文书后补”的情况，尤其是智能客服、标注外包、模型训练这类场景，合同和隐私政策往往是最薄的一环。他的经验是，先把数据处理链路画清楚，再倒推每一环该有什么告知、同意、委托条款和评估记录，文书才有支撑；单靠一份模板合同，很难应对监管问询或民事争议。具体怎么写、写到什么程度，要结合业务实际和个案情况判断，不能照搬。