大家好！今天石家庄华企立方网站建设公司为大家介绍下关于《网站收集客户手机号，只挂一条隐私政策够不够》的问题，以下是石家庄网站建设公司对此问题的归纳整理，让我们一起来看看吧。

“官网上就一个留言表单，客户自己填手机号，这也算处理个人信息吗？挂一条隐私政策链接是不是就够了？”这是最近一位做机械配件的客户问的问题。答案不太乐观：不够。隐私政策只是把“告知”这一步做了个样子，真正容易被检查出来的，是告知不全、没有取得同意、政策写的和实际收的对不上。

2026 年这方面的检查明显变密了。山西网信网 6 月 16 日披露，太原万柏林区公安网安部门今年查处 4 起网络安全违法案件，其中一家餐饮公司的点餐小程序因为隐私政策“藏得深、写得空”被责令改正并警告；上海网信办 5 月发布的 2026 年第二批消费零售专项通报，一次点名 13 个品牌的 App 和小程序；钦州 9 月也查处了两起，其中一起是人才网 App 的隐私政策没写清到底收什么。这些案例里，没有一家是因为“没做网站”被处理，都是因为“做了但没说清楚”。

一、结论：隐私政策只补上了“告知”的一半

《个人信息保护法》第十七条要求，处理个人信息前要以显著方式、清晰易懂的语言，真实、准确、完整地告知四件事：处理者的名称和联系方式；处理目的、处理方式、信息种类和保存期限；个人行使权利的方式和程序；以及其他应当告知的事项。政策还必须公开、便于查阅和保存。很多企业官网的政策页只有一句“我们重视您的隐私”，这四项一项都没落地。

更关键的是“同意”。第十四条规定，基于同意处理个人信息，同意应当由个人在充分知情的前提下自愿、明确作出；处理目的、方式、种类一变，还要重新取得同意。第十六条则明确，不能因为个人不同意或者撤回同意就拒绝提供服务，除非处理该信息是提供服务所必需。所以表单下方默认勾选的“我已阅读并同意”，在收集非必需信息时说服力有限；把“提交即视为同意”当成通用条款，也站不住。

再往下是第六条的必要范围原则：收集个人信息应当限于实现处理目的所必需的范围。一个卖配件的官网，询价表单要客户填身份证号、家庭住址、职位，就很难解释必要性。字段少一些，既更贴近合规要求，也通常更容易被填完——这一点因企业而异，但方向上不吃亏。

二、先数清楚：官网有四个地方在收个人信息

1. 留言、询价、预约表单：姓名、手机号、公司名称、需求描述。需求描述里经常夹着项目地址、预算甚至联系人身份，这些同样属于个人信息。不少站还把表单内容同时发到邮箱和微信，等于多了一条传输路径。

2. 在线客服和第三方脚本：多数客服工具会记录访客来源页、IP、设备型号、聊天内容，有的还会用手机号做访客匹配。数据存在服务商的服务器上，但处理目的和责任仍在企业这边。

3. 统计和广告转化代码：百度统计、第三方分析工具、信息流平台的转化回传代码，通常通过 Cookie 或设备标识识别访客。这类属于委托处理，需要在政策里写清第三方名称和用途。

4. 招聘投递、邮件订阅、资料下载留资：简历含教育经历和联系方式，属于个人信息；白皮书下载留手机号，也是收集。还有一处常被忽略——后台把表单导出成 Excel、再转发到工作群。太原那起案子里，两家公司就是因为办公电脑里存了上千条客户信息、没有加密也没有分类管理被处罚。

三、2026 年被查的案例，问题都出在“说了但没说清”

1. 入口藏得深、内容写得空：太原那家餐饮公司的点餐小程序，用户在正常点餐路径里几乎找不到隐私政策入口，找到了也只是模糊几句，没有列明收集的信息类型、用途和使用范围。警方认定为违反告知同意原则，责令改正并给予警告。

2. 告知的和实际收的不一致：上海 2026 年第二批通报里，沪上阿姨点单、识货、网鱼、齐家装修、亚瑟士官方商城、奥乐齐商城、小佩宠物等都被指出“告知收集使用的目的、方式、范围与实际不一致”；优衣库等被指出强制用户同意收集非必要信息；汉堡王+、亚瑟士、小佩在无关场景获取位置、通讯录、短信。通报要求 15 个工作日内完成整改。

3. 该说明的没说明，该删的没删：钦州那起人才网 App 案，问题是隐私政策没有明确公示信息采集的核心内容，用户授权后还私自自动采集网络信息，被警告并责令限期整改；另一起小程序案涉及未制定未成年人信息处理规则、未取得监护人同意。上海通报里，识货、网鱼、汉堡王+、亚瑟士还被查出注销后未及时删除个人信息。

4. 代价不只是整改：第六十六条规定，违法处理个人信息或未履行保护义务的，责令改正、给予警告、没收违法所得，拒不改正的处一百万元以下罚款，直接负责人员处一万元以上十万元以下罚款；情节严重的，处五千万元以下或者上一年度营业额百分之五以下罚款。对中小企业来说，前期警告和整改通知更常见，但一旦进入处罚程序，成本远超改一个表单。

四、中小企业能落地的五件事，一个下午改得完

1. 政策页独立、页脚常驻：不要只放在注册弹窗或表单提交后的提示里。页脚放“隐私政策”文字链接，手机端也要能点开，标题写清适用主体和生效日期。

2. 表单旁加一句告知和一个勾选框：写清“收集手机号用于回电报价，保存 12 个月，详情见隐私政策”，勾选框默认不勾选。这一句比政策页里的大段文字更有用，因为它出现在收集的那一刻。

3. 把第三方列成清单：客服工具、统计工具、地图、短信通道、CRM，各写名称、用途、是否涉及数据出境。政策里一句“我们可能使用第三方服务”不算说明，检查看的是能不能对应到具体字段和具体去向。

4. 留一个删除和更正的入口：邮箱或电话即可，写进政策。第四十七条列了应当主动删除的情形，第五十条要求建立便捷的申请受理和处理机制。客户要求删除留言记录时，除了法定保存期限内的必要存储，应停止其他处理并留台账。

5. 管住导出后的那张表：表单数据落到 Excel 或 CRM 之后，设置访问权限、开启加密、定期清理超过保存期限的记录，对应第五十一条的分类管理和加密要求。这一步不做，前面四步的效果会打折。

五、规模不同，动作的优先级也不同

《个人信息保护合规审计管理办法》（国家网信办令第 18 号，2025 年 5 月 1 日施行）规定，处理超过一千万人个人信息的处理者，应当每两年至少开展一次合规审计；被认定存在较大风险、可能侵害众多人权益，或者发生百万人以上信息泄露事件的，监管部门可以要求委托专业机构审计。多数中小企业远达不到这个量级，但《个人信息保护法》第五十四条“定期开展合规审计”的义务仍在，内部每年自查一次是成本较低的做法。

真正需要先做的是减法：把表单字段砍到必需，把“提交即同意”改成明确勾选，把政策里抄来但自己根本没收的字段删掉。模板抄得越全，越容易构成“与实际不符”——上海通报里反复出现的问题恰恰是这个。

六、常见问题

问：隐私政策可以直接用网上的模板吗？

答：可以参考结构，但不建议整段照抄。模板常写着收集通讯录、位置、生物识别等信息，而你官网根本不收，这种“多写”在检查时会被认定为公示范围与实际不符。按自己实际收集的字段、实际使用的第三方逐项改，反而是省事的做法。

问：官网刚上线，除了隐私政策还要办什么？

答：三件事容易混。ICP 备案在网站开通前办，省通信管理局对材料齐全的应当在二十个工作日内予以备案，备案本身不收费；公安联网备案在网站正式联通之日起三十日内，到全国互联网安全管理服务平台办理；网络安全等级保护备案只针对第二级以上系统，定级后三十日内到属地公安机关办理，一级系统不需要备案。前两项几乎所有企业官网都涉及，第三项取决于定级结果。

问：客户要求删掉三年前留的手机号，必须删吗？

答：要看是否还有保存的必要。处理目的已实现、不再必要，或者客户撤回同意、保存期限届满的，应当主动删除；法律、行政法规规定的保存期限未届满，或者从技术上难以删除的，应当停止除存储和必要安全保护之外的处理。实操上留一条处理记录，写清收到时间、处理方式和依据，比口头答应更稳妥。

网站合规这件事，难的不是写文档，而是把“实际怎么收、怎么存、怎么删”讲清楚。如果你不确定自己官网到底在哪些页面收了信息、有哪些第三方脚本在跑，可以先按页面列一张清单，再决定改哪几处。我们做站时通常会把这张清单和隐私政策一起交付，后面换客服工具、加统计代码时也不至于漏掉。