FAQ —— 常见问题，一次说清。

要分情况。苏州公司收集员工个人信息不能“想收就收”，一般以劳动合同履行所必需为限，敏感信息还要单独同意并说明必要。依据《中华人民共和国个人信息保护法》第6条、第13条、第17条、第28条、第29条、第51条、第55条，处理要有明确合理目的、最小必要、告知同意、敏感信息单独同意、安全措施和影响评估；《中华人民共和国网络安全法》第41条要求合法正当必要；《中华人民共和国数据安全法》第27条要求全流程安全管理制度。江苏、苏州法院通常会综合考虑处理目的是否具体、是否超出用工管理必要、告知同意是否真实、规章制度是否经民主程序并公示、敏感信息是否单独同意、权限日志和删除机制是否到位。当事人要准备员工告知书和同意记录、制度民主程序及公示证据、信息清单和权限日志、影响评估、删除记录。风险提示：考勤定位、人脸指纹、健康信息、办公监控抓拍容易越界；一揽子同意不等于“必需”，证据要能对应具体用工目的。 董坤律师 · 华商（苏州）律师事务所 最后更新：2026.10

要分情况。苏州企业收集客户信息，一般要履行告知并取得同意，但属于《中华人民共和国个人信息保护法》第13条规定的订立合同必需、履行法定义务等情形，可不以同意为前提。告知同意主要看《中华人民共和国个人信息保护法》第17条，告知要真实、准确、完整，写清处理者名称、目的、方式、种类、保存期限和权利行使渠道；第14条要求同意自愿、明确，不能默认勾选、捆绑授权。敏感信息按第28条、第29条要单独同意并告知必要性及影响；向第三方提供按第23条要单独同意；不满十四周岁未成年人按第31条要监护人同意。江苏、苏州法院通常综合考虑告知是否显著提示、同意是否具体自愿、是否超出最小必要范围，尤其看隐私政策弹窗、勾选记录、授权日志和撤回同意渠道。企业要准备告知文本版本、客户授权记录、第三方共享清单和个人信息保护影响评估材料。风险提示：默认勾选、一揽子授权、隐私政策藏得太深，容易被认定告知同意不成立；注意保存同意时间、设备、IP和撤回记录。 董坤律师 · 华商（苏州）律师事务所 最后更新：2026.10

要分情况，法律没有统一固定天数，企业应在合理期限内及时处理，不能久拖不决。《中华人民共和国个人信息保护法》第四十七条规定了删除个人信息的情形，第五十条要求建立便捷的个人行使权利的申请受理和处理机制，拒绝请求应说明理由；第四十五条、第四十六条还涉及查阅复制、更正补充。苏州、江苏法院通常看企业有没有受理渠道、响应是否及时、拒绝是否说明理由、是否实际删除或匿名化并留痕。企业一般要准备客户申请、身份核验、内部流转记录、回复函、系统删除日志和制度文本。风险提示：超期不回复或拒绝不说明理由，容易被认定未履行义务；即使删除，也要保留处理记录。法院通常会综合考虑行业惯例、信息类型和实际影响。 董坤律师 · 华商（苏州）律师事务所 最后更新：2026.10

要分情况。用AI处理客户数据本身不违法，但不能想怎么用就怎么用。核心看三点：有没有合法性基础、有没有告知、处理范围是否必要。法律上，《中华人民共和国个人信息保护法》第13条规定，处理个人信息要有同意、合同必需等合法事由；第17条要求告知处理目的、方式、种类和保存期限；第6条要求目的明确、最小必要；第28、29条对敏感个人信息要求单独同意。AI训练或分析常涉及“投喂”数据，若含客户手机号、消费记录等，还可能触发第23条向第三方提供、第21条委托处理须约定并监督。苏州法院、江苏法院审理这类纠纷，通常看企业有没有告知同意链条、数据来源是否合法、是否超出原收集目的、有没有做去标识化或权限隔离。当事人要准备隐私政策、授权记录、数据处理协议、访问日志和删除机制。风险提示：把客户数据直接喂给外部大模型，很容易被认定为向第三方提供或超范围处理。证据上要留好授权截图、系统日志和评估记录。《中华人民共和国数据安全法》第27条要求建立数据安全管理制度，第45条有处罚规定。《生成式人工智能服务管理暂行办法》第7、9条也要求训练数据来源合法、不得侵害他人权益。 董坤律师 · 华商（苏州）律师事务所 最后更新：2026.10

要分情况。员工离职后，公司不能随意继续保存、使用其个人信息；但为履行法定义务、处理劳动争议、办理社保档案工资等确有必要，可在最小必要范围内留存。依据《中华人民共和国个人信息保护法》第六条、第十三条、第十七条、第四十七条、第五十一条，处理要有合法性基础，告知员工处理目的和方式，限于必要范围并采取安全措施；留存目的消失或保存期限届满应及时删除，不能删的要匿名化。苏州、江苏法院审理此类纠纷通常会综合考虑：留存是否有法定或合同依据，是否超出离职管理必要，是否告知并具备合法性基础，是否回收账号权限、设置访问权限和脱敏，是否及时删除或说明留存期限。员工可准备曾要求删除的聊天记录、系统截图、邮件、工资社保记录；公司应准备告知文本、制度或授权依据、留存期限清单、权限日志、删除审批记录。风险提示：离职后继续用于营销、背景调查等超出原目的，风险较高；超期保存又无删除记录，容易在苏州劳动争议或个人信息纠纷中处于不利。 董坤律师 · 华商（苏州）律师事务所 最后更新：2026.10

要分情况。江苏企业个人信息出境，得先看是否属于《中华人民共和国个人信息保护法》第38条规定的路径，通常要选择安全评估、个人信息保护认证或订立标准合同之一；同时要履行第39条的单独同意和第17条的告知义务。达到国家网信部门规定数量的，还要申报安全评估。苏州法院、江苏法院审理此类纠纷时，通常会把企业是否做过个人信息保护影响评估、是否签订标准合同并备案、是否取得单独同意，作为审查重点；发生争议时，法院通常会综合考虑企业合规流程是否真实落地，而不只看纸面文件。企业要准备好出境场景清单、影响评估报告、合同文本、同意记录和内部审批材料。风险提示：口头同意、概括授权、事后补签，往往难以证明合规。证据要点是留存可追溯的告知与单独同意记录、评估和备案回执。 董坤律师 · 华商（苏州）律师事务所 最后更新：2026.10

要分情况。泄露客户个人信息且可能造成危害的，一般应立即通知客户并按规定报告主管部门；仅涉及一般业务数据、合同另有约定且风险较低的，可按合同和实际风险处理。依据《中华人民共和国网络安全法》第42条、《中华人民共和国数据安全法》第29条，发生或可能发生个人信息泄露、数据安全事件时，应立即补救并按规定告知用户、报告主管部门；《中华人民共和国个人信息保护法》第51条、第66条也要求采取安全措施并承担相应法律责任。苏州法院通常会综合考虑泄露信息类型、数量、敏感程度、是否及时通知补救及与客户损失的因果关系；江苏法院一般会看公司有无通知记录、处置日志和报告凭证。当事人要准备泄露发现时间、处置流程、客户通知记录、主管部门报告材料及客户损失证据。风险提示：不通知或迟延通知可能被认定未尽安全义务，加重责任；通知要真实、限定范围，避免二次泄露。证据上保留系统日志、通知回执、客服沟通记录。 董坤律师 · 华商（苏州）律师事务所 最后更新：2026.10

要分情况。客户名单如果只含公司名称、公开联系方式，一般风险较低；一旦含手机号、微信、住址等可识别到个人的信息，就落入《中华人民共和国个人信息保护法》第4条的个人信息范围，处理时要满足第13条合法性基础，并履行第17条告知义务。营销推送还要遵守第24条，提供便捷拒绝方式，不得过度骚扰。依据《中华人民共和国数据安全法》第27条，企业应建立数据安全管理制度；《中华人民共和国网络安全法》第41、42条要求收集使用个人信息合法、正当、必要，不得泄露或滥用。苏州、江苏法院通常综合考虑名单来源是否合法、是否取得同意、是否超范围使用、有没有退订机制、是否造成实际影响。当事人要准备名单形成过程、授权或同意记录、告知文本、退订记录、内部权限和脱敏证据。风险提示：含个人信息的名单不能仅以“公司客户资源”主张当然可用，来源不明或未经同意群发营销，容易引发投诉和侵权争议。 董坤律师 · 华商（苏州）律师事务所 最后更新：2026.10

要分情况：苏州公司若出于考勤、门禁、营销等商业目的处理人脸信息，一般要取得单独同意；履行法定义务等法定情形除外。人脸信息属于敏感个人信息，依据《中华人民共和国个人信息保护法》第二十八条、第二十九条，处理敏感个人信息应取得个人单独同意，法律、行政法规要求书面同意的从其规定；第三十条、第十七条要求告知处理必要性及对个人影响；第五十五条要求事前做个人信息保护影响评估；第六条要求最小必要；第十四条要求同意自愿、明确；第五十一条要求采取安全措施；第六十六条是违法责任。江苏、苏州法院通常综合看：是否单独弹窗或单独页面取得同意，是否告知人脸信息用途、存储期限、共享对象，是否提供刷卡、密码等替代方式，是否必要且最小化，是否加密存储并到期删除。公司要准备单独同意记录、告知文本、影响评估报告、处理规则、委托或共享协议、删除记录和替代验证方案。风险提示：把单独同意混在隐私政策一揽子勾选里，通常难被认定为单独同意；人脸信息共享给第三方还要按第二十三条取得单独同意并告知。证据上要能追溯谁、何时、对哪项人脸处理单独同意。 董坤律师 · 华商（苏州）律师事务所 最后更新：2026.10

要分情况：隐私政策不是写出来就有效，关键看是否真实、显著、可追溯地告知并取得同意。依据《中华人民共和国个人信息保护法》第6条、第13条、第14条、第17条、第30条、第31条、第51条、第55条，处理个人信息要有合法性基础，以显著方式、清晰易懂语言告知处理者身份、目的、方式、种类、保存期限和权利行使渠道，敏感信息、未满十四周岁信息还要特别告知并取得单独同意；《中华人民共和国网络安全法》第41条也要求公开收集使用规则、明示目的方式和范围并经被收集者同意。苏州、江苏法院审理此类纠纷，通常会综合考虑隐私政策是否弹窗显著提示、是否主动勾选而非默认同意、是否区分必要与非必要信息、是否列明第三方SDK共享、是否提供撤回同意和删除渠道；企业要准备政策版本、页面截图、勾选日志、权限调用和SDK清单。风险提示：模板套用、捆绑同意、不告知第三方共享，容易被认定未有效告知同意；应留存发布和变更记录、用户同意时间戳、弹窗交互证据。 董坤律师 · 华商（苏州）律师事务所 最后更新：2026.10