《个保法》实施五年，企业最容易踩的 5 个合规误区

误区一：把"告知同意"当成一次性动作

很多企业把隐私政策上线当成合规终点：更新一次，然后两三年不动。但《网络数据安全管理条例》（国务院令第 790 号，2025 年 1 月 1 日施行）第二十二条对"基于同意处理个人信息"提出了更细的硬要求：

• 收集个人信息必须是提供产品或服务所必需，不得超范围收集，不得通过误导、欺诈、胁迫等方式取得同意；
• 处理生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等敏感个人信息，应当取得单独同意；
• 处理不满十四周岁未成年人个人信息的，应当取得其父母或者其他监护人的同意；
• 不得超出个人同意的处理目的、方式、种类、保存期限处理个人信息；
• 个人明确表示不同意后，不得频繁征求同意；
• 处理目的、方式、种类发生变更的，应当重新取得同意。

纠正动作：把"同意"做成一张可持续维护的台账——按业务场景列明收集字段、处理目的、合法性基础、保存期限、是否属于敏感个人信息、是否单独同意、由谁负责。产品每新增一个字段，先过这张表再开发。

误区二：把 PIA 当成"项目材料"而不是决策前置程序

个人信息保护影响评估（PIA）在《个保法》第五十五条中是事前义务：处理敏感个人信息、利用个人信息进行自动化决策、委托处理或向他人提供个人信息、向境外提供个人信息，以及其他对个人权益有重大影响的处理活动，都应当事前进行影响评估，并对处理情况进行记录。

第五十六条明确：影响评估报告和处理情况记录应当至少保存三年。

最常见的错误是把 PIA 报告写成"合规证明"，做完一次就归档落灰。正确的打开方式是让 PIA 成为产品评审的一道闸门：新功能上线、新增字段、新接第三方、新增出境场景，先过 PIA 再排开发资源。

误区三：跨境传输以为"签个标准合同就行"

向境外提供个人信息有三条合规路径：通过国家网信部门组织的数据出境安全评估、经专业机构进行个人信息保护认证、或者订立个人信息出境标准合同。走哪条路，取决于数据规模、是否涉及重要数据以及主体类型。

根据《促进和规范数据跨境流动规定》（国家网信办令第 16 号，2024 年 3 月 22 日公布施行），规则可以简化为三档：

另外两个容易被忽略的细节：一是未被相关部门、地区告知或者公开发布为重要数据的，不需要作为重要数据申报安全评估；二是自由贸易试验区内的数据处理者，向区内负面清单以外的数据出境，可免予上述三项义务。

纠正动作：先画一张"跨境数据地图"——哪些系统、哪些字段、流向哪个国家或地区、接收方是谁、是否含敏感个人信息，再反推适用路径，而不是反过来先签合同。

误区四：只盯收集环节，忽略委托处理与共享的"链条责任"

《网络数据安全管理条例》第十二条要求：向其他网络数据处理者提供、委托处理个人信息和重要数据的，应当通过合同等方式与接收方约定处理目的、方式、范围以及安全保护义务，并对接收方履行义务的情况进行监督；处理情况记录应当至少保存三年。

这意味着第三方 SDK、云服务商、外包客服、营销服务商、数据分析供应商全部在合规范围内。"我们只是把数据交给供应商"不构成免责，监督义务仍然在企业自己身上。

纠正动作：建立处理者清单（含委托处理、共同处理、对外提供三类），逐个补齐合同安全条款、安全能力评估结论与年度监督记录。

误区五：合规审计"等被点名了再做"

《个保法》第五十四条要求定期开展合规审计；《网络数据安全管理条例》第二十七条进一步明确：网络数据处理者应当定期自行或者委托专业机构，对其处理个人信息遵守法律、行政法规的情况进行合规审计。

2025 年 5 月 1 日施行的《个人信息保护合规审计管理办法》把这件事落到了可操作层面：

• 处理超过 1000 万人个人信息的个人信息处理者，应当每两年至少开展一次个人信息保护合规审计；
• 履行个人信息保护职责的部门发现处理活动存在较大风险、可能侵害众多个人的权益，或者发生个人信息安全事件的，可以要求处理者委托专业机构开展合规审计；处理者应当提供必要支持、承担审计费用、在限定时间内完成审计、报送报告并整改；
• 同一专业机构及其关联机构、同一合规审计负责人，不得连续三次以上对同一审计对象开展合规审计。

对企业而言，这意味着合规审计不是"出事之后的补救"，而是需要提前排期、预算和选任机构资格的常规动作。选机构时要特别注意"连续三次"的上限，避免长期绑定同一家而丧失后续选择空间。

一张自检表

结语：合规难的不是"知道"，而是"证明"

个人信息合规最难的部分不是理解要求，而是证明自己做到了。制度、流程、记录三者缺一不可——有制度没流程是空转，有流程没记录等于没做。建议把上面这张表作为年度体检清单，每年至少过一次，成本远低于出事之后的补救。