4、信息收集条款撰写：如何定义个人信息、敏感信息的界定、收集方式的描述

好，咱们进入第四讲。信息收集条款，说白了就是告诉用户「我要拿你什么数据，怎么拿」。这块写不好，轻则用户投诉，重则监管罚款。我经手过的项目里，至少有三分之一的风险点都出在这里。

4.1 个人信息的定义：别玩文字游戏

法律上对个人信息的定义其实挺宽的——「以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息」。嗯，这里要注意，关键在「可识别」三个字。

我个人习惯把个人信息分成两类：

• 直接标识符：姓名、身份证号、手机号、邮箱——这些一眼就能认出是谁
• 间接标识符：设备ID、IP地址、Cookie、浏览记录——单独看可能认不出，但组合起来就能锁定一个人

我在项目中遇到过一家做智能硬件的公司，他们坚持认为「设备序列号不算个人信息」。我反问了一句：「如果我把序列号和你的购买记录关联起来，能不能找到你？」对方沉默了。后来我们改写了条款，把序列号明确列为个人信息。

4.2 敏感信息的界定：红线在哪里

敏感个人信息，说白了就是「一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害」的信息。你想想看，哪些信息被曝光会让你觉得「完了」？

根据《个人信息保护法》第28条，敏感信息包括：

类别	典型示例	风险等级
生物识别	指纹、人脸、虹膜、声纹	极高
金融账户	银行卡号、支付账号、交易流水	高
行踪轨迹	精确位置、出行记录、住宿信息	高
健康医疗	病历、体检报告、基因数据	极高
未成年人信息	14岁以下儿童的任何个人信息	极高
特定身份	宗教信仰、性取向、政治观点	高

写条款时，敏感信息必须单独列出，并且要说明：

• 收集的目的（为什么需要这个信息）
• 处理的方式（怎么存储、谁有权访问）
• 影响评估（对用户可能造成什么风险）
• 单独同意（必须弹窗让用户主动勾选，不能默认同意）

4.3 收集方式的描述：透明是王道

用户最反感的不是「你收集了数据」，而是「你偷偷收集了数据」。所以收集方式一定要写清楚、写明白。

常见的收集方式有这几种：

1. 用户主动提供：注册时填写的姓名、手机号；上传的头像、照片
2. 自动采集：App启动时获取的设备信息、位置信息；浏览网页时记录的Cookie
3. 第三方共享：通过登录获取的昵称、头像；广告SDK回传的设备ID
4. 间接获取：从合作伙伴那里买来的用户画像数据；公开渠道爬取的信息

写条款时，我建议用表格来呈现，清晰直观：

信息类型	收集方式	收集时机	是否可选
手机号码	用户注册时填写	首次注册	必填
设备型号	App启动时自动采集	每次启动	可选（可关闭）
精确位置	GPS+基站定位	使用地图功能时	可选（需授权）
昵称	第三方登录时获取	首次授权登录	可选（可手动修改）

4.4 实战案例：一个条款的「翻车」与「翻盘」

我记得有个电商项目，最初的隐私条款是这么写的：

「我们可能会收集您的个人信息，包括但不限于姓名、地址、电话、浏览记录、购买记录等，用于为您提供更好的服务。」

嗯，你看出问题了吗？

• 「可能」——太模糊，用户不知道你到底收不收
• 「包括但不限于」——无限扩大范围，监管最讨厌这个
• 「更好的服务」——目的不明确，等于没说

后来我们改成了这样：

「为了完成订单配送，我们需要收集您的收货人姓名、联系电话和收货地址。
这些信息由您在提交订单时主动填写，我们不会用于其他用途。
如果您拒绝提供，我们将无法为您安排配送服务。」

你看，三个关键点都讲清楚了：

1. 收集目的：完成订单配送
2. 收集方式：用户主动填写
3. 后果说明：不提供则无法配送

最后提醒一句：别想着用「默认勾选」「小字条款」「折叠内容」来糊弄用户。监管的眼睛是雪亮的，用户的耐心是有限的。透明一点，反而省心。