上周陪朋友去派出所报案，就是因为刚在某楼盘留了手机号，一天接了八个装修公司的电话，连门牌号都报得准准的。警察说这种事太多了，立案都难，得自己去法院告。
个保法不是给普通人看的道德准则
《个人信息保护法》第13条明确规定，处理个人信息要么取得个人在充分知情前提下自愿、明确作出的同意，要么符合法定的无需同意的情形——比如订立履行合同必需、依法实施人力资源管理必需等。它保护的法益从来不是什么抽象的“数字权益”，就是普通人对自己信息的控制权：你不能随便拿别人的信息换钱，哪怕别人当初同意过你拿他的信息做某个事，你也不能拿去干别的。
权利义务的不对称真的很明显：普通人根本没精力逐字逐句读几十页的隐私政策，处理者却能把所有免责条款都藏在最不起眼的地方，最后出事了，普通人连证据都拿不到，处理者却能拿出一堆格式条款来抗辩。谁没在打开APP的时候被弹过一整页的隐私政策？字小得像蚂蚁，不同意直接退出去，连个“仅本次允许”的选项都藏在三层菜单后面。没人真的看。
同样拿了同意书，为啥有人赔有人不赔
见过太多人把个保法理解成“拿到同意就万事大吉”，完全不是这么回事。先看第一组对比：合法的操作是物业给业主发物业费催缴通知，只用到业主的手机号和对应的房号，发完就把信息从临时发送系统里删掉，这属于履行物业服务合同必需的情形，哪怕当初的物业服务合同里没写清楚，也不用额外拿业主的同意书。违法的操作是物业把业主的手机号、房号、车辆信息打包卖给周边的装修公司、车险代理，哪怕当初的合同里写了“物业有权共享业主信息给合作方”，法院也会直接判这个格式条款无效——因为你根本没告诉业主合作方是谁，共享信息用来干嘛，业主的同意根本就不是自愿明确的。
再看第二组对比，两种操作都不违法，但责任天差地别。低风险的操作是电商平台给用户发发货通知，只用到用户的收件手机号，推送完就把手机号从临时推送池里删掉，系统里不留任何痕迹。高风险的操作是电商平台在用户注册的时候，已经在隐私政策里明确写了“我们会用您的手机号发送平台的促销通知”，用户也点了同意，之后平台用这个手机号给用户发平台的大促短信，这个操作本身是合法的，但如果平台把所有用户的手机号都存在公开可访问的标签库里，一旦被黑客拖库泄露，平台要承担的赔偿责任会比前者高几个量级——毕竟前者的信息用完就删了，根本没有泄露的可能性。
这里的关键区分变量是是否在告知同意的范围内对处理目的、期限、范围作出了可落地的限缩。别觉得这是套话，我见过太多老板觉得，我拿到用户的同意书了，我想怎么用就怎么用，真的是想多了。你以为你在隐私政策里写一句“我们有权在必要范围内共享信息给合作方”就万事大吉了，实际上法院只会看你能不能拿出证据证明，你给用户看这句话的时候，用户真的知道“必要范围”是啥，“合作方”是哪些，不然这句话就是一张废纸。
根据中国裁判文书网2021—2023年公开的涉个人信息保护民事生效判决统计，近62%的案件中，信息处理者败诉的核心原因并非“没有取得用户同意”，而是“无法举证自己的处理行为符合事先告知的范围”。2022年杭州某区法院判的一起健身服务合同纠纷，某连锁健身房收集了会员的手机号，之后连续三个月给会员发减肥产品的促销短信，会员起诉说自己只是同意了健身房的服务通知，没同意收第三方产品的广告，健身房拿不出证据证明当初在会员注册的时候，明确告知过会发送这类信息，最后法院判健身房退还会员的年卡费用，还赔了500块精神损害抚慰金。
踩过坑的律师给的三个实招
每年1月，把所有涉及个人信息收集的弹窗、告知书、隐私政策全部打印出来，找个和合规无关的普通员工读一遍，读不懂的表述直接删掉或者改得直白，改完盖公章存进专门的合规档案，保存期限至少3年。别找法务读，法务读啥都能读懂，找个前台或者行政读，她觉得拗口的地方，普通人肯定也看不懂。
每次收集用户的个人信息，当场把要收集的字段列在告知书的最前面，用加粗字体标出来，比如“我们仅需要您的手机号和房号，不会收集您的人脸、银行卡号等其他信息”，用户签字确认的那页，单独扫描存进加密U盘，和其他合同文件分开存放。别把所有同意书都堆在一个公共文件夹里，谁都能看，最后丢了都不知道。
每季度最后一周，把系统里所有超过约定留存期限的个人信息全部删除，删除的时候录屏，录屏文件存在单独的离线硬盘里，保存2年。别舍不得删，留得越多，泄露的风险越大，真出事了赔的钱比你省的存储钱多得多。
最后说句实在的，个人信息保护的核心从来不是有没有拿到一纸同意书，而是你有没有真的按照告知的范围去处理信息，有没有把不该留的信息删掉。
本内容仅供法律信息参考，不构成委托关系，不构成对裁判结果的任何形式承诺。
