场景
苏州工业园区一位市民在商场扫码点单，小程序弹出一份隐私政策，写着"我们仅收集您的手机号用于订单通知"。他随手点了同意，点了杯咖啡。回家后他发现，手机设置里这个小程序在过去一个月读取了三次位置信息、两次剪贴板。他把截图发到本地论坛，评论区一片"我也遇到过"。
另一边，这家做餐饮SaaS的苏州公司觉得自己很冤：隐私政策是模板改的，位置权限是"系统默认开的"，剪贴板是第三方SDK带进来的，公司压根没想收集。可用户投诉到市场监管部门后，问题变成了一个很直白的问题：你对外说只收手机号，实际收了位置和剪贴板，这两件事对不上，怎么解释？
这就是"隐私政策与实际处理行为不一致"最典型的模样——不是没写政策，而是写的和做的是两套。
法律规定
先说规则本身。
《民法典》第一千零三十五条讲得很清楚：处理个人信息，要遵循合法、正当、必要原则，不得过度处理，并且要满足几个条件——征得该自然人或者其监护人同意，法律行政法规另有规定的除外；公开处理信息的规则；明示处理信息的目的、方式和范围；不违反法律、行政法规的规定和双方的约定。注意最后半句"和双方的约定"，这句话是关键：隐私政策一旦对外发布、用户点了同意，它就成了双方约定的一部分，不是说改就改、说不管就不管的宣传材料。
《个人信息保护法》把这个逻辑接得更细。第五条要求处理个人信息应当遵循合法、正当、必要和诚信原则；第六条要求限于实现处理目的的最小范围，不得过度收集；第十七条要求处理前以显著方式、清晰易懂的语言真实、准确、完整地告知处理者名称、处理目的、处理方式、信息种类、保存期限以及个人行使权利的方式。第十四条还规定，同意应当是自愿、明确作出的，法律、行政法规规定应当取得单独同意的，要单独取得。
一旦说的和做的不一致，《个人信息保护法》第六十九条把举证责任压给了处理者：处理个人信息侵害个人信息权益造成损害，处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任。也就是说，用户只需要证明自己受到了损害、处理者实施了处理行为，剩下的"我没错"要企业自己举证。
法院实务怎么判
苏州地区法院审理这类纠纷，通常不看隐私政策写得多长多全，而是看三件事能不能对上：告知了什么、用户同意了什么、系统实际做了什么。
从本地公开裁判和审理思路看，常见的倾向有几个。第一，以实际处理行为为准。政策里没写、代码里在跑的功能，一般会被认定为未履行告知义务，而不是"技术疏忽"。第二，格式条款没有显著提示的，容易被认为未取得有效同意。把个人信息授权条款埋在几万字协议的第17条，用灰色小字一带而过，这种"同意"的效力往往站不住。第三，超范围收集与所提供服务无直接关联的信息，比如点单小程序读取通讯录，通常难以被认定为"必要"。第四，企业用"第三方SDK收集的、不是我收集的"来抗辩，法院一般会看SDK是不是你选的、数据是不是流向你或你能控制的，接入方很难完全甩锅。
同时也要看到，法院并非一律往重里判。如果企业能拿出个人信息保护影响评估记录、权限调用日志、整改记录，证明偏差是个别版本的技术问题且已及时修复、未造成实际损害，责任认定上通常会有不同的考量。这类案件个案差异大，不存在"一告就赢"或"一告就没事"的固定结论。
边界与例外
有几种情况，结论会不一样。
一是法定无需同意的情形。《个人信息保护法》第十三条列举了为订立、履行合同所必需，为履行法定职责或法定义务所必需，为应对突发公共卫生事件或紧急情况下保护自然人生命健康和财产安全所必需等情形，这些不需要取得同意，但"必需"两个字的门槛不低，不能拿来给任意收集兜底。
二是信息已经过匿名化处理，无法识别到特定个人且不能复原的，不再属于个人信息，规则适用会变化。但很多企业口中的"脱敏"只是把手机号中间四位打码，这不算匿名化。
三是必要性判断跟功能绑定。同一个位置权限，外卖配送类应用在前台使用时获取，和一款记事本应用在后台持续获取，评价完全不同。判断标准通常是"这个功能没有这条信息还能不能正常用"。
四是轻微瑕疵及时整改、没有造成实际损害的情形，实践中处理方式可能偏轻，但这不等于可以事后补救了事——监管层面的责令整改、警告、通报，跟民事赔偿是两条线，可以同时走。
普通人能怎么做
对苏州的中小商家和App、小程序运营者，有几件事现在就能做：
第一，拿政策文本和代码逐条对表。把隐私政策里列的每一类信息、每一个目的，和权限清单、第三方SDK清单、埋点清单对一遍，删掉写了没做的，补上做了没写的。这一步做完，多数问题就暴露了。
第二，权限申请改成"用到才问、说清为什么"。把"首次启动一键同意全部权限"改成按功能触发，弹窗里明说这条权限用来干什么、不用会怎样。
第三，接入第三方SDK前要它的信息清单，写进合同，并在隐私政策里点名列出SDK名称、收集的信息类型和用途。不要写"合作方可能收集"，这种表述等于没告知。
第四，按《个人信息保护法》第五十五条、五十六条对处理敏感个人信息、自动化决策、委托处理等情形做个人信息保护影响评估，评估报告和整改记录留着。真出了争议，这些是证明"没有过错"的材料。
对普通用户，建议是：授权前看一眼弹窗写的目的，和实际功能对不对得上；发现明显不符的，截图保存弹窗、政策页面和手机权限记录，向平台投诉或向监管部门反映，比在评论区吐槽有用得多。
律师温馨提示
隐私政策不是写给监管看的装饰品，它是企业向用户作出的书面承诺，写下来的每一句都可能成为日后认定责任的依据。董坤律师在苏州执业期间代理过涉及网络服务、消费合同与个人信息处理的民商事案件，也协助本地企业做过隐私政策与数据处理流程的对照审查，见过不少"文本很规范、系统在乱跑"的情况。这类问题的成本，往往在起草阶段解决最低，在诉讼阶段解决最贵。
作者介绍：董坤，华商（苏州）律师事务所律师，专注民商事争议解决，擅长办理个人信息保护、网络服务合同、消费者权益等与数据合规相关的纠纷，服务对象包括苏州本地电商、生活服务类平台及中小微企业。