凌晨一点十七分，我工位旁边的黄焖鸡外卖盒已经放了四个小时，油汤渗出来，把刚打印好的合同最后一页晕出半圈黄印。微信弹窗跳出来甲方的第七版修改意见，我揉了揉熬得通红的眼睛，差点把保温杯里泡烂的枸杞喷到键盘上。
第七版修改意见里的那个“可”，差点让我赔上三个月工资
原来的条款是我上周熬了两个晚上改的，写的是”乙方不得向任何第三方共享用户的身份证号、人脸特征、行踪轨迹等敏感数据”。结果甲方改完之后，在这句话前面加了个”可”，整句话直接变成了”乙方可向合作的第三方营销服务商共享非必要的敏感数据用于用户画像分析”。
我盯着那个”可”字看了三分钟。
说实话，我当时第一反应是，是不是对接的小姑娘手滑按错了？结果我打了个电话过去，她支支吾吾半天，才说他们老板要求的，说如果要用户单独授权，转化率至少掉三成，不如直接写个”可”，省得后面麻烦。我当时拿着电话，站在写字楼的消防通道里，风一吹，凉得我打了个哆嗦。我给她翻《个人信息保护法》的法条，处理敏感个人信息必须取得个人的单独同意，不是那种藏在用户协议里的一揽子授权，是要单独弹个窗口，问用户”是否同意将你的人脸信息共享给第三方用于营销”，用户点了同意才算数。她还说”不就是个小条款吗，至于这么较真？”
我差点笑出来。至于吗？去年杭州有个做电商的公司，就是因为偷偷把用户的手机号和收货地址共享给第三方，被用户举报，最后罚了二十万，还有更狠的，最高能罚到上一年度营业额的百分之五，我那点工资，够罚几个零头？
凌晨十二点的六十秒语音方阵，全是“我以为没事”
上周接的那个美容院的当事人，我现在想起来还头疼。他凌晨十二点给我发了六条六十秒的语音方阵，我当时刚把泡好的泡面端到桌上，听完第一条就没胃口了。
他说他们店存了两千多个客户的人脸信息和身份证号，都是做美容的时候必须录的，之前图省事，让前台把所有资料存在了一个员工的私人百度网盘里，没加密，也没设访问权限。结果那个员工上周离职，转头自己开了个隔壁街的美容院，把客户资料导出来，挨个给老客户打电话挖人。现在有十几个客户知道了这事，要告他们侵犯个人信息，还要他们赔钱。
他在语音里说：”不就是存了个身份证号吗？我又没卖，就是给老客户打个电话，多大点事？”
我当时拿着筷子，泡面已经坨了，我都不知道该怎么回他。说实话，我见过太多这样的老板了，觉得敏感数据不就是个手机号、个身份证号，存哪不是存？反正没人查。对吧？真等有人查的时候，罚款单下来，哭都来不及。我给他列了规定：生物识别信息、医疗健康信息、不满十四周岁未成年人的个人信息，全都是法定的敏感个人信息，存储的时候必须加密，不能随便存在个人网盘里，更别说随便导出去给第三方用。他还问我：”那我现在把网盘里的资料删了行不行？” 我说行，但是你之前已经泄露了，该赔的还是得赔，该整改的还是得整改。
老板说“这个风险你担一下”的时候，我翻了37份裁判文书
这周公司要上那个新的会员系统，要收集用户的实时位置信息和过往消费记录，还要把这些数据给合作的银行做联名信用卡的预授信。老板上周在部门群里@我，说合同里加个”用户注册即视为同意所有数据处理条款”就行，问我有没有问题。
我当时已经连续三天熬到两点了，头重脚轻的，盯着那个群消息看了半天，没敢回。我怕我回了”没问题”，最后出事了，这个锅就得我背。对吧？我一个小法务，一个月拿着一万出头的工资，担不起几百万的罚款。
我那天下午没干别的，就去裁判文书网翻案例，翻了37份，全是那种因为一揽子授权敏感数据被处罚的案子。最狠的那个是个健身APP，把人脸信息的授权和注册账号绑定，用户不同意就用不了，最后被监管部门罚了五十万，还要求公开道歉。我把这些案例打包发给老板，打了又删，删了又打，最后只发了一句：”不行，这个条款过不了合规，要做的话，得单独给用户弹授权窗口，还要存好每个用户的授权记录，至少存三年。”
老板过了半小时回了个消息：”你就是太谨慎了，大家都这么做。”
我盯着那个消息，手里的保温杯已经凉了，枸杞沉在杯底，像我现在的心情。
不过话说回来，我也不是要故意找事。我见过太多公司，平时觉得敏感数据保护是个虚头巴脑的东西，等罚款单下来，才急着找法务擦屁股。对吧？我工位上那三摞没归档的卷宗，有一半都是因为之前不重视数据合规闹出来的纠纷。
现在是凌晨两点半，我刚把第七版合同的修改意见发回给甲方，微信里又跳出来那个美容院老板的新语音，我叹了口气，还是没敢点开。黄焖鸡的油印在合同上晕得更大了，我盯着那圈黄印，突然觉得，所谓的敏感数据保护，根本不是什么写在合同里的漂亮话，就是你改的每一个字，存的每一份资料，给用户弹的每一个授权窗口，都是在给你自己避坑。
哦对了，刚才老板又在群里@我了，问我那个会员系统的合同改完没。我把手机扣在桌上，喝了一口凉掉的枸杞水，苦得我皱起了眉。
