个人信息保护法通过：私域运营的授权边界在哪里

2021 年 8 月，个人信息保护法表决通过，并将于 11 月 1 日施行。消息公布后的一周里，我们接到了大量客户的咨询，问题集中在同一件事：私域运营还能不能像过去那样做。

边界一：取得同意

把客户加进企业微信、给他打标签、向他推送消息，都涉及个人信息的处理，需要有相应的同意基础。比较务实的做法是在加好友与注册环节用清晰的语言说明用途，并保留同意记录，而不是把一堆条款塞进一个默认勾选框。

边界二：告知清楚

告知的内容包括处理目的、信息种类、保存期限与共享情况。门店与顾问在实际沟通中也应当能说清楚，例如说明手机号用于订单通知与售后，而不是用于对外提供。

边界三：方便撤回

用户有权撤回同意。系统里要有明确的操作路径：退订、删除、拒绝个性化推荐。撤回之后，相应的运营动作必须真的停止，而不是只在界面上做样子。

边界四：处理敏感信息要更谨慎

涉及健康、金融账户、行踪轨迹等信息时，合规要求更高。零售与订货业务中常见的身份证照片、人脸核身等场景，都要重新评估必要性与保存期限。

合规的另一面是信任。把授权讲清楚的品牌，在客户沟通中反而更容易获得配合。对我们做系统的人来说，最有价值的准备工作是把同意记录、撤回入口与数据权限这三件事做成标准模块，让每个项目默认就具备。