情景背景

某全国性服务企业在多地设立分公司，客户在甲地分公司提交的资料会被调往乙地分公司用于后续服务跟进与交叉销售。企业内部的授权规则只有一句话：集团内共享无需额外手续。用户戊在接到异地推销电话后提出异议，企业内部对是否需要重新告知、由哪一层审批产生了分歧。

争议与处理思路

本条（《个人信息保护法》第十三条）的各项基础需要落到具体主体与具体处理上。实务中通常认为，同一集团内的不同法人主体之间传递个人信息，在个人信息保护法上可能构成向其他处理者提供，需要相应告知并取得同意，仅凭内部规则难以免除对外义务；即便属于共同处理关系，也要明确各自的权利义务与责任划分。交叉销售已经超出原始服务目的，通常需要单独说明与单独确认。

平台提示

集团内部的个人信息流转应当有一份书面规则：哪些主体之间可以共享、共享哪些字段、用于什么目的、由谁负责告知与取得同意。把这份规则与对外的隐私政策对齐，避免出现内部允许、对外未告知的落差。交叉营销类用途宜单独设置确认环节与拒绝入口。

相关阅读：案例情景库 ｜ 实务文章 ｜ 常见问答 ｜ 法条要旨速查