上海公司法律顾问：数据合规与个人信息保护落地指引

上海公司法律顾问：数据合规与个人信息保护落地指引

律师简介：俞强律师，上海君澜律师事务所权益合伙人，北京大学法律硕士，执业十五年以上，长期为上海地区互联网、零售、医疗、教育、人力资源企业提供数据合规与个人信息保护服务，参与过个人信息保护影响评估、隐私政策审查、数据出境路径设计。本文面向企业管理者，给出可执行的数据合规落地路径。

一、数据合规不是"写一份隐私政策"

不少上海企业理解的合规是：官网挂一份隐私政策，App 首次启动弹一个授权框，就算完成。等到被监管部门通报、被用户投诉、被合作方在尽调中要求整改时，才发现问题远不止于此。

一家做会员制零售的企业，2025 年遇到三件事：小程序收集用户手机号但隐私政策未列明用途；门店安装人脸识别设备用于客流统计，未告知、未取得单独同意；把会员数据交给第三方做精准营销，未签数据处理协议。三件事叠加，被要求限期整改，并暂停相关功能。

这三件事分别对应《个人信息保护法》的三条主线：告知同意、最小必要、委托处理与共享的合规。数据合规的本质，是把个人信息处理活动纳入可追溯、可证明的管理流程，而不是准备一份文本。

二、先弄清：你处理了哪些个人信息

合规的起点是"数据地图"。建议按"业务场景—数据类型—处理目的—存储位置—共享对象—保存期限"六个维度做一次全面梳理。

梳理完成后，通常会发现问题集中在三处：收集范围超出实际需要、敏感个人信息未单独同意、对外共享没有协议约束。

三、合法性基础：不是所有处理都要"同意"

《个人信息保护法》第十三条规定了处理个人信息的合法性基础，包括取得个人同意；为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需；为履行法定职责或者法定义务所必需；为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需；为公共利益实施新闻报道、舆论监督等行为，在合理的范围内处理个人信息；依照本法规定在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息；法律、行政法规规定的其他情形。

这条规定的实务意义在于：很多场景不需要单独取得同意，但需要能说明属于哪一项基础。 例如，为发放工资而收集员工银行卡号，属于履行合同与人力资源管理所必需；为履行反洗钱义务而收集身份证信息，属于法定义务。反过来，把员工人脸信息用于门禁之外的行为分析，就很难找到同意之外的合法性基础。

需要特别注意的是，基于"同意"处理个人信息的，个人有权撤回同意；基于其他合法性基础处理的，不适用撤回规则。不要把本可以依据合同或法定义务处理的事项，硬写成"同意"，否则一旦用户撤回，处理就失去依据。

四、敏感个人信息：更高的门槛

敏感个人信息包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。处理敏感个人信息应当具有特定的目的和充分的必要性，采取严格保护措施，并取得个人的单独同意（法律规定应当取得书面同意的，从其规定）。

实践中高发的三类场景：

· 人脸识别。 用于门禁、考勤、客流统计，属于生物识别信息。除取得单独同意外，还应提供替代方式（如刷卡），不得以"不同意人脸识别就不能进入"作为强制。

· 员工健康信息。 体检报告、病假证明、健康码相关信息的收集范围应限于必要，且严格控制访问权限。

· 金融账户信息。 支付、代发工资、报销场景，应当加密存储、脱敏展示。

五、对外合作：委托处理与共同处理

企业与云服务商、短信服务商、客服系统、营销服务商、物流公司的关系，多数属于"委托处理"。委托处理应当与受托人约定委托处理的目的、期限、处理方式、个人信息的种类、保护措施以及双方的权利义务等，并对受托人的处理活动进行监督。

三类常见错误：

一是没有书面协议。 仅在服务合同里写一句"乙方应保护用户信息"，不足以满足合规要求。

二是把"共享"写成"委托"。 如果受托方可以自主决定处理目的和方式（例如把数据用于自身产品优化），实为共同处理或独立处理，需要另行取得合法性基础。

三是没有监督记录。 协议签了，但从未检查受托方的安全措施，出事时难以证明已尽监督义务。

建议做法：建立《数据处理协议》标准模板，覆盖处理目的、数据范围、安全措施、员工保密、事件通知、删除返还、审计权、违约责任八项内容；每年对核心供应商做一次合规抽查。

六、跨境传输：三条路径选一条

涉及向境外提供个人信息的，需要选择法定路径之一：通过国家网信部门组织的安全评估、经专业机构进行个人信息保护认证、或者与境外接收方订立标准合同并向省级网信部门备案。具体适用哪条路径，取决于数据量、数据类型与主体性质。

实务建议：先判断是否真的需要出境（很多场景可以通过本地化部署避免）；确需出境的，按数据量测算适用路径；与境外接收方签订标准合同并完成备案；做好个人信息保护影响评估并留存记录。上海自贸区及临港新片区在数据跨境流动方面有便利化措施，符合条件的企业可以关注负面清单管理的机会。

七、影响评估：什么时候必须做

《个人信息保护法》第五十五条规定，有下列情形之一的，应当事前进行个人信息保护影响评估，并对处理情况进行记录：处理敏感个人信息；利用个人信息进行自动化决策；委托处理个人信息、向其他个人信息处理者提供个人信息、公开个人信息；向境外提供个人信息；其他对个人权益有重大影响的个人信息处理活动。

影响评估不是"写一份报告交差"，而是应当包含：处理目的与方式的合法性、必要性；对个人权益的影响与风险；保护措施是否与风险程度相适应。评估报告应当留存至少三年。

八、日常合规的七件事

1. 隐私政策与告知。 内容完整、语言清晰、逐项列明收集的信息与用途，更新时显著提示。

2. 授权管理。 首次启动时弹窗告知，敏感信息单独同意，提供撤回渠道。

3. 最小必要。 只收集实现功能所必需的信息，不因用户拒绝非必要授权而拒绝提供基本服务。

4. 权限与访问控制。 内部按岗位授权，操作留日志，离职即回收。

5. 安全措施。 加密传输与存储、脱敏展示、去标识化处理、定期漏洞扫描。

6. 人员管理。 签署保密协议、开展年度培训、明确违规责任。

7. 应急响应。 制定数据泄露应急预案，明确报告流程与时限，发生事件时按规定通知监管与个人。

九、罚则与责任：为什么值得投入

《个人信息保护法》第六十六条规定了梯度化的法律责任：情节较轻的，责令改正、警告、没收违法所得，拒不改正的并处一百万元以下罚款，对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款；情节严重的，罚款额度显著提高，并可以责令暂停相关业务或者停业整顿、通报有关主管部门吊销相关业务许可或者吊销营业执照，对直接负责的主管人员和其他直接责任人员处以罚款。

除行政责任外，企业还可能面临民事赔偿与声誉损失。对拟融资、拟上市的企业，数据合规是尽调必查项，历史遗留问题会直接影响估值与交易进度。

十、常见问题

问：小微企业也需要做数据合规吗？

需要，但可以简化。至少完成三件事：一份与业务匹配的隐私政策、一份内部数据管理规范、与外部服务商签署数据处理协议。这三件事的成本不高，但能覆盖大部分风险。

问：员工信息也受《个人信息保护法》保护吗？

受保护。企业处理员工信息同样需要合法性基础，人力资源管理所必需的信息可以依据《个人信息保护法》第十三条的规定处理，但超出必要范围（如收集员工家属信息、监控私人通讯）则需要单独同意或其他依据。

问：安装监控摄像头需要告知吗？

需要。工作场所的监控应当在显著位置设置提示标识，明确监控范围与用途，并避免覆盖更衣室、卫生间等私密区域。用于人脸识别等生物识别处理的，要求更高。

问：用户要求删除个人信息，必须删除吗？

在符合法定情形时应当删除，例如处理目的已实现、个人撤回同意、企业违法处理等。技术上难以删除的，应当停止除存储和采取必要安全保护措施之外的处理。

问：数据合规做一次就够了吗？

不够。业务模式、数据范围、合作方都在变化，建议每年做一次复核，并在新业务上线、新系统采购、新合作方接入时做专项评估。

结语

数据合规的难点不在于理解法律，而在于把法律要求变成业务流程中的具体动作。对上海企业而言，监管环境相对成熟，客户与合作方对合规的要求也更高。

一个实用的起点是：画出自己的数据地图，找出敏感信息与对外共享的两个高风险环节，先把这两处的告知、同意、协议补齐。 剩下的工作，可以按年度计划逐步推进。

免责声明：本文为数据合规与个人信息保护的实务探讨，所引法律条文以现行有效文本为准。具体合规方案需结合业务模式、数据类型与出境情形个别设计，本文不构成对任何具体事项的法律意见。