用客户手机号做营销要先做到什么：个人信息保护法的同意、告知、撤回和罚款

2026-10-01

用客户手机号做营销，第一步不是直接发短信，而是确认处理手机号这类个人信息有合法基础：取得个人同意，或者属于为订立、履行个人作为一方当事人的合同所必需。基于同意处理时，还要让客户在充分知情的前提下自愿、明确地同意，并提供便捷的撤回方式。

《个人信息保护法》第十四条还要求，处理目的、处理方式和个人信息种类发生变更时，应重新取得个人同意。该法由全国人民代表大会常务委员会公布，发布日期为2021年8月20日，自2021年11月1日起施行，现行有效版本于2026年10月01日核实。

客户手机号能不能直接用来营销？

不能只看“客户曾经留下过手机号”，就直接把所有号码用于营销。个人信息保护法第十三条规定，处理个人信息要符合相应情形，包括：

取得个人同意；
为订立、履行个人作为一方当事人的合同所必需。

因此，手机号是否可以用于营销，要先看具体处理目的和业务关系。仅仅存在交易关系，不当然意味着可以把客户手机号用于所有营销活动。若是基于个人同意处理，同意必须真实对应实际的处理目的、方式和信息范围。

网络交易经营者收集、使用消费者个人信息，还应遵循合法、正当、必要的原则，明示收集、使用信息的目的、方式和范围，并经消费者同意。《网络交易监督管理办法》为国家市场监督管理总局令第37号，发布日期为2021年3月15日，自2021年5月1日起施行，现行有效版本于2026年10月01日核实。

收集客户手机号前要告知什么？

在处理手机号等个人信息前，应当以显著方式、清晰易懂的语言，真实、准确、完整地告知客户。至少要让客户知道：

告知事项	具体内容
处理者信息	个人信息处理者的名称或者姓名和联系方式
处理内容	处理目的、处理方式、个人信息种类和保存期限
权利行使方式	个人行使个人信息保护法规定权利的方式和程序
其他事项	法律、行政法规规定应当告知的其他事项

例如，收集手机号时，不能只放一个没有说明用途的号码输入框。告知内容应当让客户能够理解：手机号将被收集、用于什么目的、以什么方式处理、保存多久，以及客户如何行使相关权利。

如果之后改变原来的处理目的、处理方式，或者处理的个人信息种类发生变化，应当重新取得个人同意，而不是沿用最初的同意继续处理。

客户同意后不想再收到营销信息，怎么办？

客户有权撤回基于个人同意的处理。个人信息处理者应当提供便捷的撤回方式。

撤回后，不能简单理解为之前已经合法进行的处理全部自动失效。《个人信息保护法》第十五条规定，个人撤回同意，不影响撤回前基于个人同意已经进行的个人信息处理活动的效力。

但撤回意味着后续不能继续以原来的同意作为依据开展相应处理。企业应当让客户能够找到撤回入口，并及时停止不再具有同意依据的处理活动。

同时，个人撤回同意，也不是企业拒绝提供产品或者服务的当然理由。只有在处理个人信息属于提供产品或者服务所必需的例外情况下，才适用该条中的例外规定。个人因不同意处理个人信息或撤回同意而拒绝提供非必需的个人信息处理，不应被直接转化为拒绝提供产品或服务。

哪些做法属于高风险或不能直接做？

以下做法应特别谨慎：

没有说明用途就收集手机号。
网络交易经营者需要明示收集、使用信息的目的、方式和范围，不能让客户在不知情的情况下提交号码。
把客户手机号直接用于超出原目的的营销。
如果处理目的、处理方式或信息种类发生变化，应重新取得个人同意。
把客户曾经同意一件事，扩大解释为同意所有营销。
同意应当由个人在充分知情的前提下自愿、明确作出，不能用模糊的概括授权替代具体告知。
没有提供撤回同意的方式。
即使取得了同意，也应当按照个人信息保护法要求提供便捷的撤回方式。
因为客户拒绝营销信息就拒绝提供非必需服务。
个人信息处理者不得仅以个人不同意处理个人信息或者撤回同意为由，拒绝提供产品或者服务；但处理个人信息确实属于提供产品或者服务必需的除外。

违法处理个人信息，可能承担什么处罚？

《个人信息保护法》第六十六条规定，违反本法规定处理个人信息，或者处理个人信息未履行本法规定的个人信息保护义务的，由履行个人信息保护职责的部门责令改正、给予警告、没收违法所得；对违法处理个人信息的应用程序，可以责令暂停或者终止提供服务。

拒不改正的，并处一百万元以下罚款；对直接负责的主管人员和其他直接责任人员，处一万元以上十万元以下罚款。

如果情节严重，由省级以上履行个人信息保护职责的部门责令改正、没收违法所得，并处五千万元以下或者上一年度营业额百分之五以下罚款。相关部门还可以责令暂停相关业务或者停业整顿，通报有关主管部门吊销相关业务许可或者吊销营业执照；对直接负责的主管人员和其他直接责任人员，处十万元以上一百万元以下罚款，并可以决定禁止其在一定期限内担任相关企业的董事、监事、高级管理人员和个人信息保护负责人。

违法程度	企业相关责任	直接负责的主管人员和其他直接责任人员
一般违法处理或未履行保护义务	责令改正、警告、没收违法所得；拒不改正的，并处一百万元以下罚款	拒不改正的，处一万元以上十万元以下罚款
情节严重	并处五千万元以下或者上一年度营业额百分之五以下罚款；还可能被责令暂停相关业务、停业整顿，或吊销相关业务许可、营业执照	处十万元以上一百万元以下罚款，并可能被禁止在一定期限内担任相关职务

这些是法律规定的处罚范围，不代表只要发生营销投诉就一定会适用最高处罚。实际责任还要结合违法事实、改正情况、违法所得、业务规模以及监管部门的处理决定判断。

实际落地可以按这张清单做

[ ] 确认手机号处理的目的是否有《个人信息保护法》第十三条规定的合法基础。
[ ] 如果以同意为基础，确认客户是在充分知情的前提下自愿、明确作出同意。
[ ] 告知客户处理者名称或姓名、联系方式、处理目的、处理方式、信息种类和保存期限。
[ ] 说明客户行使权利的方式和程序。
[ ] 处理目的、处理方式或信息种类变化时，重新取得个人同意。
[ ] 提供便捷的撤回同意方式。
[ ] 不把客户拒绝非必需的个人信息处理，直接作为拒绝提供产品或服务的理由。
[ ] 对短信、外呼等营销活动，先核对个人信息处理依据和平台规则。电话营销涉及的个人信息处理，应按照《个人信息保护法》等适用法律判断，不另行编造未经取得的专项外呼规则。

商业推广笔记另有平台规范，以小红书页面为准。微信个人账号使用规范并未公布每天加好友、群发的具体次数上限，不能自行设定一个“官方安全次数”；本条讨论的是个人信息保护法的通用要求，不替代具体平台的运营规则。抖音、微信和小红书等平台的导流、二维码、商业广告及账号行为，还应分别查看对应规则。

资料来源

常见问题

客户以前买过东西，留下的手机号可以直接发营销短信吗？

不能仅凭曾经发生过交易就直接认定可以营销。要先确认处理手机号是否具有合法基础；如果基于同意处理，还要核对原告知内容、处理目的和范围是否覆盖实际营销活动。

客户同意接收营销信息后，公司可以随时改变用途吗？

不可以直接扩大处理范围。处理目的、处理方式或者个人信息种类发生变更，应当重新取得个人同意。

客户撤回同意后，之前已经发送的短信都要算违法吗？

撤回不影响撤回前已经基于个人同意进行的处理活动的效力。但撤回之后，应停止继续以原同意为依据的处理，并提供便捷的撤回方式。

不提供撤回按钮会有什么风险？

《个人信息保护法》要求个人信息处理者提供便捷的撤回同意方式。缺少这一机制，可能构成未履行个人信息保护义务，并可能触发相应行政处理或处罚。

营销短信中只写“发送即代表同意”，可以吗？

这不能当然替代充分告知和明确同意。处理前应以显著方式、清晰易懂的语言告知相关事项；基于同意处理时，同意还应由个人在充分知情的前提下自愿、明确作出。