个人信息保护法草案二审之后，企业该提前准备什么

2021 年，个人信息保护相关立法进程明显加快。对做线上业务的企业来说，这件事不再是法务部门的单独议题，而是会直接改动产品流程的工程问题。

主线一：告知与同意

用户是否被告知收集了什么、用来做什么、会提供给谁，以及是否有明确的同意动作，是最基本的要求。落到产品上就是隐私政策的展示时机、勾选动作与授权记录的留存。授权记录必须能查到时间与版本，否则无法证明合规。

主线二：最小必要

很多小程序在首次打开时一次性索取手机号、位置、相册、通讯录。这种做法以后会越来越危险。正确的思路是按场景索取：需要下单才要手机号，需要导航才要位置。

主线三：个人权利的响应

用户有权查询、更正、删除自己的个人信息，也有权撤回授权。系统需要能支持这些操作，而不是让用户打电话找客服。删除之后，业务侧的关联数据怎么处理也要提前设计好。

提前做的三件事

第一是把企业收集的个人信息列一张清单，注明用途、存放位置与共享对象。第二是检查第三方组件的授权范围，很多超范围收集来自引用的外部组件。第三是给数据导出与查看加上权限与日志，内部人员访问敏感数据必须留痕。

这些准备工作看起来与本年度业务无关，但它们决定了后续做私域与数据运营的空间有多大。