隐私政策

隐私政策是站点用来告知用户，自己收集哪些个人信息、用途是什么、和谁共享、保留多久、用户享有哪些权利的页面^[1]。它不是可写可不写的一段说明，而是多数地区法律要求公开的信息^[2]。站长写它，既是合规要求，也影响用户是否愿意填表、下单与订阅。

法律上的要求

GDPR 要求在收集个人数据时向用户提供一组信息，包括处理目的、法律依据、保留期限、共享对象与用户权利^[1]。欧盟委员会把这组要求归入「知情权」，并强调信息要用清晰平实的语言写出^[2]。国内侧，《个人信息保护法》要求公开处理规则，明示目的、方式与范围^[3]。面向儿童的服务，美国 COPPA 另有更严的要求：收集 13 岁以下儿童的信息要取得家长同意^[4]。

该写的内容

一份可用的隐私政策至少覆盖这几项^[1]：

• 收集的数据种类；
• 处理目的与法律依据；
• 与谁共享；
• 保留多久；
• 用户的权利与行使方式；
• 联系方式与数据保护负责人。

放置与可达

隐私政策要能从每一页走到，通常放在页脚。注册、下单、订阅这类收集数据的环节，要就近给出链接^[2]。把政策藏进二级菜单深处，等于让用户找不到。

与搜索功能的关系

接入分析、广告这些第三方服务时，服务方通常要求站点提供隐私政策，收集个人信息的页面尤其如此。政策页本身可以被收录，关键在于内容真实，与站点的实际做法一致。

常见误用

• 直接照抄别家的模板，写的内容与实际做法不符；
• 只写收集，不写共享与保留期限；
• 只留英文版本，中文用户看不懂；
• 政策藏在页脚深处，收集表单时也不给链接。

改动带来的代价

政策要随功能变化更新，新增一种埋点或者第三方工具，就得把它补进条目。写得太细会增加维护工作量，写得太粗又可能被认定告知不充分。涉及跨境传输时还要额外说明，通常需要法律意见。

附录

参见

• Cookie 与同意
• 用户数据与 GDPR
• 表单与数据收集
• 个人信息保护法

参考资料

官方（境外）

1. 《Regulation (EU) 2016/679（GDPR）》，欧盟，2016-04-27。
2. 《Information for individuals》，欧盟委员会。
3. 《Children's Online Privacy Protection Rule (COPPA)》，美国联邦贸易委员会（FTC）。

官方（国内）

4. 《中华人民共和国个人信息保护法》，中国人大网，2021-08-20。

外部链接

无。