上一讲讲了受托门：替别人干活攒下的数据，在你手里，不等于归你处置；干完活想再利用，入口只有一个，合同。

这一讲讲外采门中用户自己点了“同意”的。做小程序、做APP、做电商的企业，几乎家家手里都有这种数据。问起合不合法，老板们的回答惊人地一致：

“用户打了钩的呀。”

打了钩，是不是就万事大吉了？

一、为什么偏偏要用户打钩

先想清楚一个前提：这个钩处分的是什么。不是物，不是钱，是个人信息，是隐私。电话号码、人脸、指纹、行踪、消费习惯，这些东西是属于个人的，是人格的一部分，不是货架上的货。

按数据合规三层框架看，这是第一层的事：定层。内容和载体要分清，存在手机、存在服务器里的，是别人的信息和隐私。这一层，法律早就规定得清清楚楚：民法典把个人信息和隐私列进人格权，《个人信息保护法》给处理行为立规矩。规矩的核心就一条：动别人的信息，要人家点头。

所以才有打钩这个动作。打钩不是平台发明的仪式，是法律要求的“点头”留下的痕迹。

二、那个钩，同意的是什么

想清楚了为什么要用户打钩，再想下一个问题：那个钩代表什么？用户打钩，不是同意“把我的信息给你”，而是“允许你在说定的范围内使用我的信息”。

这两句话差别大了。第一句像是把东西过户给你，实际不是那么回事。第二句才是真相：他给你的只是一张入场券，不是通行证。用户允许你进来了，但进来之后你能干什么、干到哪，边界早就划好了。

而且票根还在他手里：用户随时可以撤回同意。撤回了，你就得停。（法律上这叫个人信息处理的撤回权，《个人信息保护法》第十五条。）你听说过房子过户之后原房主还能反悔的吗？没有。所以打钩从来不是“给”，是“许可”。说得再白一点：同意是说明书，你得照着做，不是空白支票让你随便填。

三、可那个钩，现实里是空转的

先说个谁都熟悉的场景。装个APP，弹出一篇长长的《隐私政策》，下面一个按钮：同意并继续。不点，用不了；点吧，没人真读。有人算过一笔账：把常用APP的隐私政策逐字读完，一年得花两百多个小时。这不是夸张，是算术。

再看两头的代价。打钩只要一秒。想撤回同意、想注销账号、想投诉维权，每一步都得自己找入口、搭时间、耗精力。授权一秒，反悔一下午。

有人会说，不就让渡点信息吗，换来的是实打实的方便：移动支付、外卖快递，走到哪都比欧美顺手。这笔账没错，便利是真的。但要看见对价那一栏：人脸、指纹、行踪、消费习惯，都在交换里一点点给了出去。物业进门刷脸，在欧洲被严格限制；在我们这里，不是法律不管。

《个人信息保护法》早把生物识别列为敏感个人信息，最高人民法院2021年公布实施的《关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》规定：物业服务企业或者其他建筑物管理人以人脸识别作为业主或者物业使用人出入物业服务区域的唯一验证方式，不同意的业主或者物业使用人请求其提供其他合理验证方式的，人民法院依法予以支持。

可全国那么多小区、那么多园子都在刷脸，真去较这个真的，出名的就郭兵一个：杭州一家动物园的年卡，入园本来刷指纹，园方单方面改成刷脸，他不接受，一路告到法院，赢了，园方被判删除他的人脸信息。这个案子第1讲那四笔账里就有，赔偿只有1038元。官司是赢了，时间精力搭进去不少，有几个普通人耗得起？规定都有，只是拒绝的权利行使起来成本太高。

再深一层，很多时候这个钩连“交换”都算不上，因为没有不点的余地。不带手机，出门寸步难行；现金掏出来，有的店不收；银行办事，柜台越来越少，事事让您先下载APP。不同意，就用不了；不同意，就办不成。《个人信息保护法》第十六条写得明白：不是提供服务所必需的，不得以您不同意为由，拒绝提供产品或者服务。拒收现金，人民银行也早就明令整治。条文都在，可现实里那个“不”字，多数人点不起。

所以那个钩，实际上大半是空转的：不是用户真的知情同意了，是不同意就寸步难行。

四、合法的钩，要过四关

合法收集、使用用户个人信息，光有个钩不够，还要过四关：

第一关：告知了吗。打钩之前，你告诉人家了吗：你是谁、收集什么、拿去干什么、存多久、给不给第三方？那份《隐私政策》写清楚了吗？写都没写清，那个钩等于白打：不知情，何来同意。

第二关：最小必要原则。收集的信息和干的活配不配？一个手电筒APP要读通讯录，一个计算器要定位，这就叫越界。干活需要多少，收集多少；多收一分，都是把人家的信息往自己兜里多揣了一分。

第三关：目的限定。为A用途收集的信息不能拿去做B用途。用户注册电商账号时留的手机号，你拿去做贷款推销，当初说好的可不是这个。换用途，要重新打钩。

第四关：敏感信息单独同意。人脸、指纹、行踪轨迹、金融账户、医疗健康，这些是“敏感个人信息”，混在一揽子钩里不行，要单独告知、单独同意。

五、做不到就降门槛？这个说法要掰开

现在数据领域的专门立法还在路上，标准在完善，执法在磨合。行业里有一种有代表性的声音：过渡期要求企业做到百分之百合法，不现实，所以合法性这个前提不该卡那么严。卡严了，企业拿不到数据，做不了事，最后只能大家都混着过。

难处是真的。但这个推论要掰开看。做不到完美，和不设门槛，是两回事。门槛的作用不是让企业迈不过去，是拦住那些装着没看见的人。

还有一层不能看不见。《个人信息保护法》写在纸上的权利，人人平等。但权利要行使，得靠两样东西：知道自己有什么权利，用得起行使权利的手段。有人把这两样外包给了专业团队，数据足迹有人专门打理；多数人两样都得自己扛，对面却是批量自动的收集系统。钩的空转，根子在这里。让每一项权利够得着、用得起，制度的价值才算落了地。

六、罚单开在哪

企业被罚得最多的是什么？不是没打钩，现在谁都知道要设计个钩。是实际干的和告知写的不一致。

隐私政策抄了个模板，写着“仅用于为您提供服务”，实际后台里用户数据被拿去做用户画像、做精准营销、共享给关联公司。写出来的和做出来的两本账。监管一查一个准：这不是技术问题，这是说一套做一套。

两本账的代价有多大？滴滴那张80.26亿的罚单，“过度收集”“未告知就分析”占了大头。钩打得再漂亮，实际干的超出写的，罚单照样开。打钩不是免责符，是计价起点：超出说定范围的每一步，都在给自己记账。

所以自查的方法特别简单，就一个问题：你隐私政策里写的用途，和你今天实际在用的用途，还是一回事吗？答得心虚，就重新评估、修改。

否则真出了事，这笔债得按两层计价。第一层没分清，把人家的信息和隐私当成了白捡的原料；第二层没守住，把说定范围的许可当成了无限授权。打钩给的权源有多宽，用度就只能有多宽，超出去的每一步，罚单都记着数。

七、还有一层：用户传上来的东西

做平台的还要多想一层：用户上传的图片、文档、作品，除了个人信息那套规矩，还有著作权，那是人家的作品。平台能用多大范围，看用户协议怎么授权。想拿用户上传的内容去训练模型、去做新产品？先翻翻你的用户协议里有没有相应授权条款。没有，用了就是侵权。这类官司正在全球开打：欧美多家媒体把AI公司告上法庭，事由都一样，作品被拿去训练大模型，没拿到许可。打钩的那个《服务协议》，很多时候恰恰没写这一条。而别人的作品从来不是免费的内容库：这一类判赔已经涨到6000万这一档，第1讲那四笔账里摆着。

八、收尾：打钩的天平

企业基于用户同意取得数据的，记住下面两句话：打钩是入场券，不是通行证；说定干什么，就只能干什么。

但只说怎么不挨罚，这一讲就说浅了。往深里说，这是一个天平：一头是企业发展，一头是个人权利。国家要给数据行业留发展空间，企业要数据才能跑业务，这都对；可天平另一头，个人信息和隐私是人家的人格权，法律写得清清楚楚。现实的情况是，天平斜了，斜向企业这一头：用户让渡个人信息几乎是批量自动的，维权却得靠用户一件一件自己较真的。不是法律缺位，是法律给个人的权利，行使起来成本太高。

这不是危言耸听。今年3月，国家网络与信息安全信息通报中心通报了71款违法收集使用个人信息的App，其中24款栽在同一条上：没有向用户提供便捷的撤回同意途径，连泡泡玛特这样的知名品牌都在列。撤回这一关，已经是监管通报里的重灾区。

尤其要看到的是，数据合规框架第三层的法律还没出台，数据怎么持有、怎么加工使用、怎么经营、怎么登记等，规则还在路上。越是这种时候，越不能乱来。取法乎上，得乎其中：把第一层、第二层做稳，再上第三层做事，怎么做都不会错到哪去。

听完这一讲回去对一对：你的用户协议和隐私政策，是照着你的实际业务写的，还是抄的？写和做，是同一本账吗？对不上，赶紧改。

拿不准，找律师评估：把告知文本、收集清单、实际用途三样摆在一起对一遍，哪一关没过、怎么补，一次说清。

下一讲，讲外采门和偏门里两个水最深的来源：买来的、爬来的。巧的是，大洋彼岸正好有一家航空公司的数据官司那几天出结果。买来的数据能踩多大的坑，下一讲听听这个新鲜热辣的案子。

我是冼律师，在佛山做数据合规评估。

（数据合规十讲之四。）