导语

「隐私政策里写一句就够了」「委托处理与对外提供是一回事」「数据给了合作方就与己无关」，这三句话在共享场景中流传很广，也各有偏差。

本篇辨析围绕对外提供的典型误解，并说明正确的适用边界。

规则出处与规范指向

《中华人民共和国公司法》第二十三条（向其他处理者提供个人信息的告知与单独同意）：《个人信息保护法》第二十三条规定：个人信息处理者向其他个人信息处理者提供其处理的个人信息的，应当向个人告知接收方的名称或者姓名、联系方式、处理目的、处理方式和个人信息的种类，并取得个人的单独同意；接收方应当在上述处理目的、处理方式和个人信息种类等范围内处理个人信息。接收方变更原先的处理目的、处理方式的，应当依照本法规定重新取得个人同意。

一、误判一：隐私政策里写一句就够了

向他人提供属于需要单独同意的情形，概括条款无法替代。缺乏单独同意而实际传输，是监管检查的高频发现项。

二、误判二：委托处理与对外提供是一回事

受托处理不构成向他人提供，但受托方只能在委托范围内处理，且不得超出委托目的。错把提供当委托，会遗漏单独同意义务。

三、误判三：数据给了合作方就与己无关

提供方对接收方的处理范围负有监督义务，接收方超范围处理时，提供方难以完全免责。

操作清单

不要用概括条款替代单独同意，向他人提供属于需要单独同意的情形。

不要把委托处理与对外提供混为一谈，受托方只能在委托范围内处理。

不要以为数据交出去就与己无关，提供方对接收方的处理范围负有监督义务。

不要忽略接收方再向第三方提供的情形，协议中应当明确限制并约定另行同意。