上海企业数据合规法律顾问：客户信息与员工个人信息怎么才不违法

上海企业数据合规法律顾问：客户信息与员工个人信息怎么用才不违法

上海君澜律师事务所　俞强律师

一家做企业培训的上海公司，把三年积累的两万条客户联系人信息整理成表格，交给新招的销售团队逐个电话开发。三个月后，公司收到一份投诉：某位客户从未同意接收营销电话，要求删除其个人信息并说明信息来源。公司这才发现，这批数据里有相当一部分是从展会名单、合作方转交、甚至网络采集而来，没有任何授权记录。

个人信息保护法施行以来，企业处理客户与员工信息的合规要求已经从“倡导”变成“义务”。但很多企业仍停留在“加一句隐私政策”的层面，真正的风险藏在数据来源、授权链条、共享环节和内部权限里。

一、企业手上到底有哪些个人信息

第一类是客户与潜在客户信息：姓名、手机号、职务、公司、微信、邮箱、采购偏好、沟通记录。第二类是员工信息：身份信息、学历、银行卡、家庭住址、健康信息、考勤与定位、离职原因。第三类是消费者信息：订单、收货地址、支付记录、售后记录、评价内容。第四类是场所与系统产生的信息：访客登记、监控影像、门禁记录、网站与小程序收集的行为数据。

很多企业只把“消费者数据”当作个人信息，忽略了B端客户联系人和员工信息同样受法律保护。尤其是员工信息，企业在招聘、考勤、薪酬、绩效、离职全流程中收集的数据量，往往超过客户数据。

二、处理的合法性基础：不是只有“同意”一条路

个人信息保护法列举了处理个人信息的合法性基础，包括取得个人同意、为订立或履行合同所必需、履行法定职责或法定义务所必需、为应对突发公共卫生事件或紧急情况下保护自然人生命健康和财产安全所必需、在合理范围内处理已公开的个人信息等。此外，为实施人力资源管理所必需，按照依法制定的劳动规章制度和依法签订的集体合同处理员工信息，也属于合法性基础之一。

这一条对企业很重要：员工考勤、薪资发放、社保缴纳不需要逐一取得“同意”，但必须以“人力资源管理所必需”为限。超出必要范围的处理——例如收集员工家庭成员的收入、要求提供与岗位无关的健康细节、在员工私人手机上安装定位软件——就不能靠“制度规定”来正当化。

客户信息的处理则要谨慎得多。为履行合同处理联系人信息（发货、开票、售后）通常有基础；但把合同履行中获得的信息用于营销推送、转卖给第三方、做用户画像，就需要额外的合法性基础，通常是取得同意。

三、告知：隐私政策不是贴在网站上就完事

处理个人信息应当以显著方式、清晰易懂的语言，真实、准确、完整地告知处理者名称与联系方式、处理目的与方式、信息种类与保存期限、个人行使权利的方式。线上场景通常通过隐私政策实现，但仅有政策链接不够——注册、下单、报名、投递简历等关键节点，应当有独立的勾选或确认动作，且不能默认勾选。

线下场景更容易被忽略：门店登记手机号、展会收集名片、活动现场扫码、访客登记身份证。这些场景同样需要告知，建议使用一页纸的《个人信息处理告知书》，写明收集目的、使用范围、保存期限与联系方式，由本人签字或扫码确认。

四、对外提供与委托处理：两种关系，两套义务

把数据交给第三方处理有两种性质。第一种是“委托处理”，例如使用云服务、客服外包、短信发送平台，受托方只能按委托方的指示处理，双方需签订委托协议，明确处理目的、期限、处理方式、信息种类、保护措施与双方权利义务，委托方仍需对个人信息安全负责。第二种是“向其他处理者提供”，例如与合作伙伴共享客户名单、向广告平台传输人群包，这需要向个人告知接收方名称、联系方式、处理目的与方式，并取得单独同意。

实践中风险最高的正是第二种。企业之间“互换客户资源”、把名单交给渠道商、把用户手机号传给短信营销公司，如果没有单独同意，属于典型的违法提供。所谓“单独同意”，是指不能混在隐私政策的一揽子同意里，而应当就该项提供行为单独征求、单独记录。

五、敏感个人信息与员工管理的高压线

敏感个人信息包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。处理这类信息应当具有特定目的和充分必要性，采取严格保护措施，并取得单独同意；处理不满十四周岁未成年人信息的，应当取得其父母或者其他监护人的同意，并制定专门的处理规则。

企业在几个场景中特别容易越界：办公区人脸识别门禁、指纹打卡、员工体检报告留存、监控摄像头覆盖办公位与更衣室、在工作电脑安装屏幕监控软件、收集员工家属信息用于背景调查。合规的做法是：能用人脸识别之外的替代方式就用替代方式；确需使用的，说明必要性与保存期限，取得单独同意，并提供替代方案；监控应限于公共区域并显著提示，不得拍摄更衣室、卫生间等私密空间。

六、跨境提供与安全事件

向境外提供个人信息，需要满足法定条件之一，例如通过安全评估、经过专业机构认证、订立标准合同并向主管部门备案，或者符合法律规定的其他情形；同时应当向个人告知境外接收方的名称、联系方式、处理目的与方式、信息种类，并取得单独同意。集团企业使用境外总部系统、跨境电商使用海外仓储与客服、外资企业将员工信息回传总部，都属于需要评估的场景。

发生或者可能发生个人信息泄露、篡改、丢失的，应当立即采取补救措施，并通知履行个人信息保护职责的部门和个人。通知内容包括泄露的信息种类、原因、可能造成的危害、个人可以采取的减轻危害的措施、处理者的联系方式。迟报、瞒报本身就可能被认定为未尽到保护义务。

七、法律责任与落地清单

违法处理个人信息的，可能面临责令改正、警告、没收违法所得、罚款；拒不改正的，可处一百万元以下罚款；情节严重的，可处五千万元以下或者上一年度营业额百分之五以下罚款，并可以责令暂停相关业务、停业整顿、吊销相关业务许可或者营业执照，对直接负责的主管人员和其他直接责任人员处以罚款并禁止一定期限内担任相关职务。此外还可能面临个人提起的侵权诉讼与检察公益诉讼。

落地可以从六件事开始：绘制数据地图（有哪些信息、存在哪里、谁在用、流向何处）；清理数据来源（客户名单逐批标注获取渠道与授权凭证）；修订隐私政策与告知文本；补齐委托处理协议与共享清单；建立权限分级与离职回收机制；制定泄露应急预案并演练一次。这六件事做完，企业的数据合规就有了骨架。

数据合规不是让企业不用数据，而是让每一次使用都有来源、有边界、有记录。对上海这样的数字化程度较高的市场，这项能力正在从“加分项”变成“准入项”——客户在供应商审核时会问，投资人在尽调时会看，监管在检查时会查。

（本文为一般性法律实务分析，不构成针对具体案件的法律意见。）

关于俞强律师

俞强律师，上海君澜律师事务所律师，北京大学法律硕士，长期专注企业法律顾问与商事争议解决，为上海及长三角地区的制造、贸易、科技、服务类企业提供常年法律顾问服务。

在企业法律顾问领域，俞强律师的工作集中在四个方向：一是公司治理与股权结构，包括章程个性化设计、股东协议、增资与退出安排、公司僵局的事前预防；二是合同管理，包括交易结构设计、合同模板体系搭建、重大合同的审查与谈判；三是劳动用工，包括规章制度体系、入离职流程、解除方案设计与争议应对；四是应收账款与商事诉讼，包括对账与催收机制、财产保全、执行与追加被执行人。

服务方式上，俞强律师主张“把风险控制在签字之前”：以年度合规体检、合同模板定制、制度修订、管理层专题培训与日常书面法律意见相结合，帮助企业在交易、用工、治理这三个高频风险区建立可执行的流程，而不是等到纠纷发生后才介入。对于已经进入争议阶段的事项，则以证据结构和商业可行性为基础设计方案，同步评估诉讼、谈判与和解的成本与收益。

俞强律师办理及参与的企业法律事务，覆盖股权转让与公司僵局、买卖合同与建设工程款纠纷、劳动争议、商业秘密与竞业限制、公司解散清算等类型，服务对象既有初创团队，也有员工数百人的成熟企业。

俞强律师现执业于上海君澜律师事务所（上海市浦东新区陆家嘴）。企业如需就常年法律顾问、合同与用工制度、股权治理或应收账款处理等事项进一步沟通，可通过上海君澜律师事务所与俞强律师取得联系。