场景
最近，个人信息保护和企业数据合规的咨询增多。
苏州一家连锁门店推出会员卡，办卡时让顾客填手机号、生日、职业和家庭住址，说“方便积分和售后”。后来门店把会员手机号交给第三方做短信营销，又在小程序里默认勾选“同意共享给合作方”。顾客收到大量推销短信后投诉，门店才意识到，当初那张登记表并没有把用途、共享对象和退出方式说清楚。
法律规定
《中华人民共和国个人信息保护法》第六条规定，处理个人信息应当具有明确、合理的目的，与处理目的直接相关，采取对个人权益影响最小的方式；收集个人信息应当限于实现处理目的的最小范围，不得过度收集。第十三条规定了处理的合法性基础，包括取得个人同意、为订立或履行合同所必需、履行法定职责或义务、应对突发公共卫生事件或紧急情况下保护自然人生命健康和财产安全等。
第十七条规定，处理个人信息前应当以显著方式、清晰易懂的语言真实、准确、完整地告知处理者名称和联系方式、处理目的和方式、信息种类和保存期限、个人行使权利的方式和程序等。第二十三条规定，向其他个人信息处理者提供个人信息，应当告知接收方名称、联系方式、处理目的、处理方式和信息种类，并取得单独同意。第二十八条规定，敏感个人信息只有在具有特定目的和充分必要性，并采取严格保护措施的情形下才可以处理。
法院实务怎么判
从苏州地区企业合规实践和个人信息纠纷的常见处理看，监管和法院通常会看告知是否在收集前作出、是否具体到用途和共享对象、同意是否自愿和单独、是否提供撤回方式、是否超出必要范围。把“同意隐私政策”捆绑在办卡、付款、下载 App 的流程里，又默认勾选，很难说明同意是自愿的。
收集手机号用于会员积分，和把手机号共享给第三方营销，是不同目的。前者可能属于履行会员服务所必需，后者通常需要单独告知和单独同意。敏感信息、未成年人信息、人脸识别、精准定位，要求更高，不能只用一份通用隐私政策覆盖。
苏州零售、餐饮、教培、医美等行业，会员系统和营销短信很常见。企业要区分“为完成交易收集”和“为后续营销使用”，前者也要告知，后者通常需要单独同意。把手机号交给短信服务商、广告公司或异业合作方，属于对外提供，不能只用一份笼统的隐私政策带过。
苏州企业还要注意，会员信息、订单信息和营销授权最好分开管理，别把一次办卡当成永久授权；顾客要求删除时，也要有可执行的流程。
边界与例外
为订立或履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需，可以不依赖同意，但范围仍要必要。履行法定义务、应对紧急情况、为公共利益实施新闻报道或舆论监督等，也有各自边界。
匿名化处理后的信息不再属于个人信息，但“去标识化”不等于匿名化。企业把数据交给外包客服、短信平台、广告服务商，可能构成委托处理或对外提供，法律责任不同。跨境传输还有单独规则。
普通人能怎么做
- 先做数据清单：收集哪些字段、为什么收集、存在哪里、谁可以访问、保存多久、是否共享给第三方。
- 把告知放在收集前，用具体、短句说明用途，不要只用一份很长的隐私政策。
- 对营销共享、敏感信息、人脸识别等场景使用单独同意，不要默认勾选，并提供撤回和注销入口。
- 遵守最小必要，能不留生日、住址、职业的，就不要为了“以后可能有用”全部收集。
- 与第三方签数据处理协议，明确用途、期限、安全措施和删除义务，定期检查短信、客服、广告服务商的实际使用。
“告知同意”不是一张表格，而是收集、使用、共享、保存、删除全流程的合规安排。
律师温馨提示
在苏州，企业收集客户信息、管理员工数据、做短信营销或使用 AI 处理数据，告知、同意、最小必要和删除机制缺一不可。董坤律师长期代理民商事及企业合规案件，熟悉苏州地区个人信息保护、劳动争议和企业数据合规的实务边界，尤其擅长把隐私政策、授权流程、外包协议和员工制度做成可执行的方案。具体案件需要结合业务判断，不能预先承诺结果。