场景
苏州工业园区一家做智能客服的科技公司，去年上线了一套对话式AI系统。公司技术负责人老周为了“优化模型”，让团队把过去两年积累的客户聊天记录、通话录音、工单内容打包导出，交给外包标注团队做数据清洗。这些记录里，有客户报身份证号办业务的，有投诉时提到病情和用药的，还有员工在内部群里吐槽客户的语音。今年三月，一位客户发现自己投诉时说的健康状况被系统“记住”并用于推荐，向公司提出查阅和删除要求。公司一时拿不出完整的处理记录，也说不清这些数据流到了哪里。客户随后向监管部门反映，老周这才着急：真要走程序，我们手里到底该准备什么证据？
这个场景在苏州并不少见。工业园区、高新区聚集大量数据驱动型企业，敏感个人信息处理一旦出问题，举证压力往往落在企业一方。
法律规定
先厘清“敏感信息”的范围。《个人信息保护法》第28条把生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹，以及不满十四周岁未成年人的个人信息列为敏感个人信息。第29条要求处理敏感个人信息取得单独同意；第30条要求告知处理的必要性及对个人权益的影响。第31条对不满十四周岁未成年人的信息，要求取得父母或其他监护人同意，并制定专门处理规则。
处理个人信息要有合法性基础，第13条列了同意、履行合同必需、履行法定义务等情形。第6条强调目的明确、最小必要。第17条要求处理前真实、准确、完整告知。第14条对同意作出要求，基于同意处理的，个人有权撤回。
涉及对外提供，第23条要求告知接收方名称、联系方式、处理目的方式、信息种类，并取得单独同意。委托处理适用第21条，要通过合同约定处理目的、期限、方式、信息种类、保护措施和双方权利义务，并进行监督。第55条要求处理敏感个人信息、委托处理、对外提供等情形做个人信息保护影响评估，并留存记录。
数据安全方面，《数据安全法》第27条要求建立全流程数据安全管理制度，第29条要求发生安全事件立即处置并按规定告知、报告，第30条要求重要数据处理者定期开展风险评估。《网络安全法》第21条要求落实网络安全等级保护制度，第41、42条涉及收集使用规则和不得泄露、篡改、毁损收集的个人信息。
法院实务怎么判
从苏州法院公开裁判文书的常见审理思路看，个人信息或数据纠纷中，法院通常不会只看一方口头陈述，而是围绕“有没有制度、有没有告知、有没有同意、有没有记录”四条线审查。
第一，看处理规则和告知是否落地。企业主张已告知，通常要拿出隐私政策版本、弹窗记录、签署页面、告知时间点。仅有一份事后补做的政策文本，证明力往往有限。
第二，看同意是否真实、单独。敏感信息要求单独同意，法院会关注同意是否与其他条款捆绑、是否默认勾选、是否可撤回。涉及未成年人信息，还会看监护人同意和专门规则。
第三，看处理活动有没有留痕。委托处理、对外提供、影响评估，法院通常结合合同、评估报告、内部审批、日志记录判断。只有制度没有执行记录，容易被认为管理不到位。
第四，看事件发生后是否及时处置和报告。《数据安全法》第29条要求立即处置并告知、报告，法院会把处置时间线、通知内容、补救措施作为考量因素。
需要说明，个案差异很大，上述只是普遍倾向，不能替代具体案件的分析。
边界与例外
敏感信息处理并非一律禁止，关键在于合法性基础和必要限度。第13条列举的履行合同必需、履行法定义务等情形，可以在无需同意时构成基础，但“必需”要结合第6条最小必要判断，不能把“可能有用”当成“必需”。
第24条涉及自动化决策，要求保证透明度和结果公平，个人有权拒绝仅通过自动化决策作出的决定。生成式AI服务还要注意《生成式人工智能服务管理暂行办法》第7、9、11、14、15条，涉及训练数据来源合法、标注规则、内容安全、投诉处理等要求。
另外，第44至47条赋予个人知情、决定、查阅复制、更正、删除等权利，第50条要求建立个人行使权利的申请受理和处理机制。企业不能以“技术原因”为由长期不回应。
普通人能怎么做
如果你是个人用户，遇到类似情况，先固定证据：保存隐私政策截图、同意页面、与客服的沟通记录、提出查阅或删除请求的时间和方法。依据第45条，可以要求查阅复制；依据第46、47条，可以要求更正、删除。请求尽量书面化，保留发送记录。
如果你是企业一方，建议按“制度—告知—同意—记录—处置”五步自查：处理敏感信息前是否做了影响评估并留存；委托标注、外包清洗是否签了第21条要求的合同并监督；对外提供是否履行第23条告知和单独同意；自动化决策是否有第24条透明度安排；发生事件是否按第29条及时处置报告。证据准备不是事后补材料，而是把日常流程做成可追溯的记录。
律师温馨提示
董坤律师在苏州执业，长期处理数据合规、个人信息保护相关事务，参与过企业数据出境、敏感信息处理流程梳理、监管沟通应对等工作，熟悉本地企业的业务形态和常见风险点。这类事情往往不是一份文件能解决，而是要把业务流程、合同安排和留痕机制一起理顺。如果你正面临类似困惑，尽早把现有材料整理清楚，比事后解释更有用。