一句话结论收集用户信息必须“告知—同意—必要”，违规收集、擅自共享、超范围使用，都会带来行政处罚与民事赔偿。
一、问题的由来
【虚构案例】一款社区团购小程序在未单独告知的情况下采集用户通讯录与人脸信息用于“好友推荐”，被用户投诉后，网信部门责令整改、下架相关功能并处罚款，同时面临集体性民事索赔。（本案例为说明规则而虚构，人物、公司名称与情节均非真实，不涉及任何真实案号。）
二、法律规则与边界
《个人信息保护法》确立处理个人信息的合法性基础：取得个人同意、为订立履行合同所必需、履行法定义务等；处理敏感个人信息（生物识别、医疗健康、金融账户、行踪轨迹、不满十四周岁未成年人信息）须取得单独同意并具有特定目的与充分必要性。第十三条、第十七条要求告知处理目的、方式、种类与保存期限；第六十六条规定了高额罚款与停业整顿等处罚。数据出境还须走安全评估、标准合同或认证路径。
三、创业者该怎么做
- 隐私政策写清收集目的、范围、共享对象与保存期限，避免“一揽子授权”
- 敏感信息单独弹窗同意，提供拒绝选项，不做“不同意即不能使用”的强制捆绑
- 与第三方共享数据前签署数据处理协议，明确处理目的与安全义务
- 新功能上线前做个人信息保护影响评估（PIA）并留档
本案涉及法条
- 《中华人民共和国个人信息保护法》第十三条、第十七条：合法性基础与告知义务
- 《中华人民共和国个人信息保护法》第二十八条至第三十条：敏感个人信息的单独同意
- 《中华人民共和国数据安全法》第二十一条：数据分类分级保护
- 《中华人民共和国网络安全法》第四十一条、第四十二条：收集使用的原则与责任
延伸阅读
- 第 031 篇｜广告合规：“最”字一出口，罚单就上路
- 第 043 篇｜技术入股与核心团队绑定：别让“拿股走人”成为常态
本文仅为一般性法律知识分享，不构成针对具体案件的法律意见，具体事务请咨询执业律师。本文为《创业企业全生命周期法律风险防控手册》第 030 篇。
关键词：个人信息保护、数据合规、数据出境、用户授权、敏感个人信息。