数据合规检查最常见的误区，是拿一份隐私政策当作全部答案。
隐私政策只解决「告知」，解决不了「凭什么处理」。后者才是合法性基础，也是监管最先问的问题。
一、审计对象不是系统，是处理活动
系统是载体，处理活动才是对象。同一套客户管理系统里，可能同时存在六种处理活动：收集、存储、使用、加工、传输、提供、公开、删除。
每一种活动的合法性基础可能不同。收集手机号靠的是订立合同所必需，推送营销信息靠的是同意，向第三方提供靠的是单独同意。混在一起说，一定说不清。
所以第一步是梳理清单：谁在处理、处理什么信息、为什么处理、保存多久、给谁看过。
清单要落到字段级。只写「客户信息」，等于什么都没写。要写清姓名、手机号、身份证号、收货地址、支付记录、设备标识。
二、六项合法性基础
《个人信息保护法》第十三条列了六项：取得个人同意；为订立、履行个人作为一方当事人的合同所必需；为履行法定职责或者法定义务所必需；为应对突发公共卫生事件或者紧急情况下保护自然人生命健康和财产安全所必需；为公共利益实施新闻报道、舆论监督等行为，在合理的范围内处理；依照本法规定在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息。
审计时要判断：每一项处理活动对应哪一项，依据是否成立。
最常见的错误是把「同意」当成万能钥匙。实际上，能用合同必需解决的，不必取得同意；反过来，合同必需也不能被滥用——把营销推送说成「履行合同所必需」，站不住。
还有一类：履行法定义务。比如按反洗钱要求留存客户身份资料，依据是法定义务，不需要同意，但要在告知中说明。
三、告知与同意的实操
告知的要求是真实、准确、完整，且易于理解。藏在十页协议第九条的角落里，不算告知。
同意的要求是自愿、明确。默认勾选不算，捆绑授权不算，以拒绝提供服务相威胁取得的同意也不算。
单独同意适用于几种情形：向第三方提供、公开、处理敏感个人信息、跨境传输、用于自动化决策中的定向推送。这几种不能混在总协议里一并勾选。
撤回同意的路径要和取得同意一样方便。只能打电话撤销、且电话永远打不通的，视为未提供撤回渠道。
还有一个细节：不满十四周岁未成年人的个人信息属于敏感个人信息，要取得监护人同意，并制定专门的处理规则。
四、最小必要与保存期限
最小必要有两层：收集的范围最小，使用的目的直接相关。
收集范围上，一个卖鞋的电商要求用户授权通讯录，显然超出必要。使用目的上，为发货收集的地址，不能拿去给第三方做精准营销。
保存期限要明确。法律规定或合同约定的期限届满，就应删除或匿名化。
实务中的问题是「只进不出」。数据库里躺着十年前的订单与客户信息，谁也不知道该不该删。审计时要问：这条数据的保存期限是多久，依据是什么，到期后怎么处理。
五、委托处理与共享
委托处理，比如把客服外包、把短信发送交给第三方。这时要签委托处理协议，明确处理目的、期限、方式、信息种类、保护措施、双方责任。受托方不得超出约定处理，也不得转委托。
向第三方提供，属于「共享」，要告知接收方名称、联系方式、处理目的、方式、信息种类，并取得单独同意。
审计中常见的缺陷是：与云服务商、短信服务商、数据分析商的协议里，只有服务条款，没有个人信息保护条款；或者协议签了，但实际传输的数据范围超出约定。
还有一类隐蔽的共享：开发包嵌入。应用里集成的第三方开发包会自行收集设备信息，企业往往不知情。这一块要单独排查。
六、跨境传输的三条路径
向境外提供个人信息，要通过三条路径之一：通过国家网信部门组织的安全评估、经专业机构进行个人信息保护认证、或者与境外接收方订立标准合同并备案。
是否必须走安全评估，取决于主体与数量。关键信息基础设施运营者，或者处理个人信息达到规定数量的处理者，向境外提供个人信息应当申报安全评估。其余情形按数量分档适用认证或者标准合同。
近年监管对「必要」的判断也在细化：确需出境的才出境，能本地化处理的先本地化。所以审计时要问一句：这份数据为什么必须出境，有没有替代方案。
跨境还要履行告知义务，向个人告知境外接收方的名称、联系方式、处理目的、方式、信息种类，以及个人行使权利的方式，并取得单独同意。
七、一个开发包违规收集的案例
某生活服务类应用用户量约三百万。监管检查发现，应用集成三个第三方开发包在用户未授权的情况下读取了设备型号、安装列表与位置信息，并将数据传输至境外服务器。
企业申辩称开发包由技术服务商提供，自身不知情。检查认定：企业作为个人信息处理者，对委托处理活动负有监督义务，未在接入前评估开发包的收集行为，也未在隐私政策中披露共享情况，构成违规。
处理结果：责令整改并给予警告，罚款共计八十万元；要求下架两个未整改的开发包，重新签署数据处理协议，对已收集的信息做删除处理，并委托机构开展合规审计。
整改后企业建立了开发包准入流程：接入前提交收集清单，逐项与业务必要性比对；每季度做一次流量监测，比对实际传输字段与申报字段是否一致；隐私政策按季度更新。
八、数据合规自查清单
- 处理活动清单已落到字段级，含目的、方式、保存期限
- 每项处理活动已对应到六项合法性基础之一
- 告知内容真实完整，关键条款未被隐藏
- 向第三方提供、处理敏感信息、跨境等情形已取得单独同意
- 撤回同意与注销账号的路径便捷可用
- 收集范围符合最小必要，超范围字段已清理
- 保存期限明确，到期数据已删除或匿名化
- 委托处理协议含个人信息保护条款，受托方未超范围处理
- 第三方开发包已逐一排查，实际传输字段与申报一致
- 跨境传输的路径（评估、认证、标准合同）已确定并履行告知
数据合规不是一份文件，是一张对应表。左边是处理活动，右边是依据，中间不能有空白。空白的部分，就是风险所在。
