FAQ —— 常见问题，一次说清。

要分情况。若泄露的是客户个人信息，通知一般要写清泄露的信息种类、可能原因、可能后果、已采取的补救措施、客户可自行采取的防护办法和咨询联系方式。依据《中华人民共和国网络安全法》第四十二条，发生或可能发生个人信息泄露，应立即补救并按规定告知用户、报告主管部门；《中华人民共和国个人信息保护法》第十七条、第五十一条也要求处理者履行告知义务并采取安全措施。苏州、江苏法院审理这类纠纷时，通常看是否及时通知、内容是否真实完整、是否采取补救、泄露与损失之间有无因果关系。普通人要准备泄露通知原件、短信邮件截图、客服沟通记录、异常登录或诈骗电话记录、损失凭证。风险提示：通知别夸大也别隐瞒，保留原始载体。最后两行固定写： 董坤律师 · 华商（苏州）律师事务所 最后更新：2026.10

要分情况。通讯录和定位权限是否“最小必要”，关键看与APP核心功能是否直接相关、是否为实现该功能所必需。依据《中华人民共和国个人信息保护法》第6条，处理个人信息应具有明确、合理的目的，与处理目的直接相关，采取对个人权益影响最小的方式，收集个人信息应限于实现处理目的的最小范围；第13条、第17条要求取得同意并如实告知处理目的、方式、范围。《中华人民共和国网络安全法》第41条也要求遵循合法、正当、必要原则，明示目的、方式和范围。通讯录属于敏感个人信息，依《中华人民共和国个人信息保护法》第28条、第29条需单独同意。苏州、江苏法院通常综合看：权限与核心功能是否匹配、是否强制索权、拒绝授权后能否使用基本功能、索权频率和范围是否过度。普通人要准备权限弹窗和隐私政策截图、授权流程录屏、拒绝授权后功能受限情况。风险提示：不要只截静态图，最好录屏保存完整授权和拒绝过程；定位还需区分精确与粗略。 董坤律师 · 华商（苏州）律师事务所 最后更新：2026.10

要分情况。通常只有Cookie用于收集、识别个人信息，或用于广告追踪、画像推荐等非必要功能时，才需要用户同意；仅维持登录、购物车、安全防护等必要Cookie，一般可不单独取得同意，但应告知。依据《中华人民共和国个人信息保护法》第13条，处理个人信息需取得同意等合法性基础；第17条要求告知处理目的、方式、种类、保存期限等；第14条要求同意应自愿、明确，法律、行政法规规定处理敏感个人信息等应取得单独同意。苏州、江苏法院审理此类纠纷通常会综合考虑Cookie是否实际收集个人信息、告知是否清晰、同意是否自愿明确、必要功能与营销功能是否区分，以及企业能否举证留存同意记录。普通人要准备截图、弹窗和隐私政策页面、拒绝或撤回同意的操作记录。风险提示：不要只靠“继续浏览即同意”的模糊提示，企业应保存告知和同意证据，用户也要及时固定页面证据。 董坤律师 · 华商（苏州）律师事务所 最后更新：2026.10

要分情况。只把隐私政策链接放在网站底部，一般不算充分告知。《中华人民共和国个人信息保护法》第17条要求，处理个人信息前，要以显著方式、清晰易懂的语言真实、准确、完整地告知处理目的、方式、种类、保存期限和联系方式等；第7条讲公开透明，第14条要求同意是在充分知情下自愿、明确作出。苏州法院、江苏法院审理这类纠纷，通常会看告知是否“显著”、能否在收集信息前就看到、内容是否具体、有没有单独提示敏感信息。链接藏得深、字号小、要多次跳转才看到，法院一般难认定为已充分告知。普通人要留存网页截图、操作录屏、收集信息的时间点和隐私政策版本。风险提示：企业最好在收集信息页面就近提示并留痕，否则一旦被投诉或起诉，举证会很被动。 董坤律师 · 华商（苏州）律师事务所 最后更新：2026.10

要分情况。苏州小区或写字楼门禁刷脸，一般不能只提供人脸识别一种方式，通常应给刷卡、二维码或人工登记等替代选择。依据《中华人民共和国个人信息保护法》第6条，处理个人信息应具有明确、合理目的，与处理目的直接相关，并采取对个人权益影响最小的方式；第28条、第29条规定人脸信息属敏感个人信息，需取得单独同意；第17条要求事前告知处理目的、方式、范围。江苏、苏州法院审理此类纠纷，通常会综合考虑管理方是否告知、是否单独同意、是否必要，以及拒绝刷脸后是否被限制进出。普通人要保留门禁通知、同意页面、拒绝后被拦记录，并书面申请替代方式。风险提示：被强制刷脸或拒绝进门时，及时拍照录像并投诉。证据要点是告知文本、替代方式申请及对方答复。 董坤律师 · 华商（苏州）律师事务所 最后更新：2026.10

要分情况。员工在微信群吐槽客户，公司能否处理、怎么处理，关键看吐槽内容是否捏造事实、泄露客户个人信息或商业秘密、是否违反公司合法有效的规章制度，以及处理方式是否与行为性质、后果相当。依据《中华人民共和国个人信息保护法》第4、6、13条，处理个人信息要有合法性基础并限于必要范围；第51条要求企业采取措施防止信息泄露。公司可先固定聊天记录、群成员范围、传播后果等证据，再按规章制度给予提醒、警告、调岗等处理；若捏造事实损害客户名誉或泄露客户信息，可依《中华人民共和国数据安全法》第27、29条等要求整改并追责。苏州、江苏法院通常会综合考虑员工行为是否严重违反规章制度、公司处理是否合理、是否造成实际影响，不会仅凭“吐槽”二字就认定解除合法。普通人要准备群聊截图原件、公司制度及公示记录、客户投诉或损失证据。风险提示：公司解除劳动合同尤其要谨慎，证据不足可能被认定违法解除；员工也应避免发布客户姓名、联系方式等个人信息。 董坤律师 · 华商（苏州）律师事务所 最后更新：2026.10

要分情况。客户名单不是天然商业秘密，通常要同时满足非公开、有商业价值、权利人采取了保密措施，并且不是简单罗列公开信息。法条上，名单含个人信息时，收集使用要符合《中华人民共和国个人信息保护法》第4条、第6条、第13条、第17条；数据处理要符合《中华人民共和国数据安全法》第21条、第27条。苏州法院、江苏法院通常看名单是否包含交易习惯、需求偏好、报价底线、联系人、合作历史等深度信息，是否容易从公开渠道获得，公司有没有保密协议、权限分级、访问日志、离职交接等实际措施。普通人要准备保密制度、员工签署记录、客户信息形成过程、脱敏和授权记录。风险提示：只列名称电话邮箱，一般不够；收集使用个人信息还要告知同意。 董坤律师 · 华商（苏州）律师事务所 最后更新：2026.10

要分情况。员工误删数据，先看公司有没有合规的备份义务和制度。《中华人民共和国数据安全法》第27条要求建立数据安全管理制度、采取技术措施保障数据安全；《中华人民共和国网络安全法》第21条要求采取数据备份、加密等措施。公司没做合理备份，就难以把全部损失都推给员工。赔偿上，法院通常会综合考虑员工过错程度、是否违反操作规程、公司管理是否有漏洞、损失能否证明。苏州、江苏法院的常见思路是：故意或重大过失才赔，一般过失可减轻；公司备份缺失、权限管理混乱的，会相应减责。普通人要准备：备份记录、操作日志、员工培训签收、损失清单、恢复费用凭证。风险提示：损失金额不能只凭口头估算，最好有第三方恢复报价或审计依据；发现误删后要立即固定日志，别让证据灭失。 董坤律师 · 华商（苏州）律师事务所 最后更新：2026.10

可以外包，但合同必须把委托处理的目的、期限、处理方式、数据种类、保护措施和双方责任写清楚。依据《中华人民共和国个人信息保护法》第21条，委托处理要约定上述事项，并监督受托方；第51条要求采取安全措施；第55条、第56条要求事前做个人信息保护影响评估并记录。还要结合《中华人民共和国数据安全法》第27条建立数据安全管理制度，《中华人民共和国网络安全法》第21条落实等级保护。苏州企业常见做法是列数据清单，写明不得转委托、泄露通知、协助告知同意和删除、审计监督、终止返还删除、违约责任。江苏法院通常会综合考虑合同是否明确、企业是否实际监督、是否做影响评估并留痕，不会只看一纸“免责条款”。风险提示：合同再全，不监督、不评估仍可能被认定未尽义务；留好评估报告、审计记录、数据清单和删除返还凭证。 董坤律师 · 华商（苏州）律师事务所 最后更新：2026.10

要分情况。注销账号后，企业不能继续把信息用于原营销等目的，但可保留履行法定义务、处理投诉诉讼、安全审计所必需的信息，以及已匿名化且无法识别到个人的数据。依据《中华人民共和国个人信息保护法》第47条，处理目的已实现、无法实现或不再必要时，应主动删除；第6条要求最小必要，第13条规定同意、法定义务、合同履行等合法性基础，第51条要求采取安全措施。苏州、江苏法院通常综合看企业是否说明保留目的、范围和期限，是否做去标识化，是否仍推送营销或对外提供。普通人要保存注销记录、隐私政策截图、客服沟通和仍被联系使用的证据。风险提示：以“备份”为名长期保留可识别信息，仍可能被认定超范围处理；注销时最好书面要求删除并留回执。 董坤律师 · 华商（苏州）律师事务所 最后更新：2026.10