做私域、加客户微信要收集信息：个人信息保护法的告知和同意怎么落地

2026-10-01

一个人做私域、添加客户微信，只要收集或使用客户信息，就不能只把它当成生意资料，也应按照个人信息处理规则来做。核心要求很明确：合法、正当、必要、诚信；处理目的明确，收集限于实现目的的最小范围；处理前把该告诉客户的 information 说清楚。需要取得同意的，还要让客户在充分知情的前提下自愿、明确作出。

收集客户微信和手机号，为什么不能什么都问？

《个人信息保护法》要求，处理个人信息应当遵循合法、正当、必要和诚信原则，不得通过误导、欺诈、胁迫等方式处理，也不得过度收集。

判断一项信息是否该收，可以先问三个问题：

为什么要收？
后面具体怎么用？
客户不提供，是否就无法完成已经声明的服务或活动？

答案应当围绕同一个明确、合理的目的展开。个人信息处理应当与处理目的直接相关，并采取对个人权益影响最小的方式。客户只是添加微信，并不代表你可以顺带收集与服务无关的资料。

《个人信息保护法》还规定，网络数据安全管理条例要求，基于个人同意处理信息时，收集范围不得超过提供产品或者服务所必需的范围；个人已经明确表示不同意后，不得频繁征求同意。上述规定分别见《个人信息保护法》和《网络数据安全管理条例》，核实于2026年10月1日。

客户不同意、没勾选，还能继续发消息吗？

先看处理依据，而不是默认“加进微信就等于同意”。

《个人信息保护法》规定，符合取得个人同意、为订立或履行个人作为一方当事人的合同所必需、为履行法定职责或者法定义务所必需等情形之一，个人信息处理者方可处理个人信息。

因此，私域运营不能把所有收集和使用都建立在同一个笼统的同意上。收集时应说明具体目的和用途，不能用一次概括授权、默认授权、与其他授权捆绑或者停止使用服务等方式，强迫或变相强迫客户同意收集与经营活动无直接关系的信息。

如果客户没有作出有效同意，或者已经明确表示不同意，后续处理应当停在该依据能够覆盖的范围内。《网络数据安全管理条例》还明确，个人明确表示不同意处理其个人信息后，不得频繁征求同意。该条例自2025年1月1日起施行，核实于2026年10月1日。

个人信息处理规则应该写哪些内容？

规则不能藏在客户看不到的位置，也不能只写一句“用于业务联系”。

《网络数据安全管理条例》规定，个人信息处理规则应当集中公开展示、便于访问并置于醒目位置，内容明确具体、清晰易懂。规则至少要把下列内容对应写清：

应写内容	落地问题
个人信息处理者名称或者姓名、联系方式	客户知道是谁在处理，也找得到人
处理目的、方式、个人信息种类	说明为什么收、怎么收、收什么
处理敏感个人信息的必要性及对个人权益的影响	不能只列名称，要说明为什么确有必要
个人信息保存期限及到期后的处理方式	期限难以确定的，要写明期限的确定方法
行使权利的方法和途径	包括查阅、复制、转移、更正、补充、删除、限制处理、注销账号、撤回同意等

处理前，还应当以显著方式、清晰易懂的语言，真实、准确、完整地告知客户处理者名称或者姓名和联系方式，处理目的、方式、个人信息种类和保存期限，以及行使相关权利的方式和程序等事项。

规则改到小程序客服变更、存储方式调整或者新增信息种类时，也不能只修改后台设置。处理目的、处理方式和个人信息种类发生变更，应当重新取得个人同意。

授权按钮、勾选框和隐私政策，怎样才不混在一起？

同意要由客户在充分知情的前提下自愿、明确作出。基于同意处理信息，不能通过误导、欺诈、胁迫取得同意。

实际落地时，可以分别核对：

客户在作出选择前，是否已经看到处理规则；
规则链接或页面是否容易找到、重点是否清楚；
收集字段是否与所声明的经营目的直接相关；
是否存在默认勾选、捆绑选择或者不必要的信息字段；
客户拒绝后，业务是否仍提供不依赖该项信息的正常路径；
客户改变处理目的、处理方式或者信息种类后，是否重新取得同意。

《网络交易监督管理办法》明确要求，网络交易经营者明示收集、使用信息的目的、方式和范围，并经消费者同意。该办法自2021年5月1日起施行，2025年3月18日作出修正，核实于2026年10月1日。

哪些客户信息属于敏感个人信息？

敏感个人信息包括一旦泄露或者非法使用，容易导致自然人的尊严受到侵害或者人身、财产安全受到危害的个人信息。法律列举了生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。

处理敏感个人信息必须同时具备特定目的、充分必要性，并采取严格保护措施。仅有“以后可能用得上”，通常不足以解释为什么要收集。

对于网络交易经营者，收集、使用个人生物特征、医疗健康、金融账户、个人行踪等敏感信息，应当逐项取得消费者同意。《网络数据安全管理条例》进一步明确，处理敏感个人信息应当取得单独同意。制定客服登记表时，不要把这些信息混进一个笼统授权里。

客户问个人信息怎么用，应该怎么回答？

回答不能只说“放心，绝对安全”，而应回到实际处理规则。客户要求查阅、复制、转移、更正、补充、删除、限制处理个人信息，或者注销账号、撤回同意时，应当按照规则公布的方法和途径处理。

一条容易执行的思路是：

说明由哪个主体处理；
说明为什么处理；
说明收集哪些信息；
说明保存期限或期限确定方法；
说明客户如何行使权利；
涉及敏感信息时，说明处理的必要性及对个人权益的影响。

《民法典》还要求，处理个人信息应征得本人同意、公开处理规则，并明示处理信息的目的、方式和范围，但法律、行政法规另有规定的除外。上述依据核实于2026年10月1日。

常见问题

做私域只是加微信，也算处理个人信息吗？

只要收集、保存或者使用能够识别客户的信息，就不能忽略个人信息处理义务。重点不是客户通过什么渠道进入私域，而是你实际处理了什么信息、为了什么目的处理，以及采用了什么合法依据。

隐私政策放在小程序底部，就算完成告知了吗？

不一定。《个人信息保护法》要求以显著方式、清晰易懂的语言进行告知；《网络数据安全管理条例》还要求规则集中公开展示、便于访问并置于醒目位置。还要检查内容是否明确具体，以及客户能否找到权利行使途径。

所有客户信息都能放在同一个授权框里吗？

不能把概括授权当作无边界的许可。收集范围应当与处理目的直接相关，并限于实现目的的最小范围。敏感个人信息还应具备特定目的、充分必要性，采取严格保护措施，并取得单独同意。

处理目的或信息种类变更后，原来的同意还能继续用吗？

不能直接沿用。处理目的、处理方式和个人信息种类发生变更，应当重新取得个人同意，同时更新处理规则和实际收集字段。