情景背景

某电商平台为提升营销效果，与一家外部公司签订合作协议，将平台上部分用户的手机号与购买偏好提供给对方，用于短信与电话推广。平台仅在隐私政策中笼统提及「可能与合作伙伴共享信息」，未在收集环节单独提示，也未单独取得用户同意。后来有用户收到营销短信并向监管部门投诉。

争议与处理思路

处理思路分三层。第一层，行为定性：平台把个人信息提供给外部公司用于其自身营销，属于向其他个人信息处理者提供个人信息，依《个人信息保护法》第 23 条，应当向个人告知接收方的名称或者姓名、联系方式、处理目的、处理方式和个人信息的种类，并取得个人的单独同意；仅在隐私政策中笼统提及，通常不足以替代单独告知与单独同意。第二层，事前程序：第 55 条规定，向其他个人信息处理者提供个人信息属于应当事前开展个人信息保护影响评估的情形，未做评估与记录，合规链条上存在缺口。第三层，合同与留痕：与接收方应约定处理目的、方式、范围、保存期限与安全措施，并约定未经同意不得转委托或者再提供；同时保存授权记录、评估文件与共享台账。责任如何认定取决于具体事实与证据。本情景为脱敏改编，不指向任何真实案件与真实主体，不构成对结果的预测或承诺。

平台提示

对企业：把「对外提供」与「委托处理」分开管理，前者重单独告知与单独同意，后者重协议与监督；建立第三方准入与共享台账制度，逐项记录提供了什么信息、给了谁、依据是什么、多久复核一次。对法务与合规：凡是把个人信息交给外部主体用于其自身目的的场景，先问三个问题——告知了吗、单独同意了吗、评估做了吗。对业务与市场：不要用「合作需要」替代授权，也不要用一句笼统的隐私政策条款覆盖所有场景，这往往是投诉与整改的起点。

相关阅读：案例情景库 ｜ 实务文章 ｜ 常见问答 ｜ 法条要旨速查