导语

「写在隐私政策里就算告知了」「用户没反对就可以继续用」「字段越多数据资产越厚」，这三句话在企业内部流传很广，但每一句在法律上都需要修正。

本篇逐条辨析围绕合法收集的典型误解，并给出符合现行规则的口径。

规则出处与规范指向

《中华人民共和国公司法》第四十一条（收集使用个人信息的合法正当必要与明示规则）：《个人信息保护法》第四十一条规定：处理个人信息应当遵循合法、正当、必要原则，不得过度收集；处理个人信息应当具有明确、合理的目的，并应当与处理目的直接相关，采取对个人权益影响最小的方式。收集个人信息应当限于实现处理目的的最小范围，不得过度收集；同时应当以显著方式、清晰易懂的语言，真实、准确、完整地向个人告知处理者名称、处理目的、处理方式、信息种类与保存期限等事项。

一、误判一：写在隐私政策里就等于尽到告知

告知的要求是「显著方式、清晰易懂」，藏在多层页面或使用大量专业术语，即使写了也可能被认定未有效告知。

二、误判二：用户没反对就可以继续用

处理行为需要积极依据，而不是依赖个人不反对。沉默不是同意，未撤回也不等于曾授权。

三、误判三：字段越多数据资产越厚

采集范围受处理目的约束，超出必要范围的字段不是资产，而是随时可能被认定为过度收集的风险点。

操作清单

不要把隐私政策当成告知的全部，重点检查个人在收集时点能否看清告知内容。

不要依赖个人的沉默推定同意，处理行为需要有积极依据。

不要把超出业务需要的字段当作数据资产留存，先评估其必要性与风险。

不要在未告知的用途上使用已收集的数据，用途扩张需要重新取得授权。