收集客户手机号要注意什么？一不小心就违法

门店做个扫码领券，留个手机号；小程序注册要授权手机号；展会收一沓名片回来录入 CRM；为了冲业绩，从第三方买一份「精准客户名单」群发短信。这四件事，前三件常见且大多可控，第四件基本等于给自己埋雷。

手机号是最典型的个人信息。自《个人信息保护法》2021 年 11 月施行以来，处理个人信息的合规要求已经从「告知一下」升级为「有基础、有告知、有边界、有留存」的完整链条。违规的成本也不低：情节严重的，可处五千万元以下或者上一年度营业额百分之五以下罚款。

一、先给结论

• 手机号是个人信息，受《个人信息保护法》约束。与是否公开、是否敏感无关，只要可识别到特定自然人，就是个人信息。
• 处理必须有合法性基础。同意、订立合同必需、履行法定义务、公共利益、已公开信息等，六种基础之一。
• 同意要自愿、明确、可撤回。默认勾选、捆绑授权、隐藏条款，都不构成有效同意。
• 最小必要。只收达成目的所必需的信息，多收一项就多一分风险。
• 买名单、换名单是最高风险行为。来源不合法，后续使用一律违法。

版本说明：本文依据 2026 年 11 月前现行有效的法律与司法解释撰写，所引条号以该时点文本为准。法律修订后条号可能变动，涉具体案件请核对现行文本；若你的法律事实发生在更早年份，适用的规则可能不同。

二、法律依据：四个核心条款

《个人信息保护法》第十三条（合法性基础）：符合下列情形之一的，个人信息处理者方可处理个人信息：（一）取得个人的同意；（二）为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需；（三）为履行法定职责或者法定义务所必需；（四）为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需；（五）为公共利益实施新闻报道、舆论监督等行为，在合理的范围内处理个人信息；（六）依照本法规定在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息；（七）法律、行政法规规定的其他情形。

依照本法其他有关规定，处理个人信息应当取得个人同意，但是有前款第二项至第七项规定情形的，不需取得个人同意。

《个人信息保护法》第十七条（告知义务）：个人信息处理者在处理个人信息前，应当以显著方式、清晰易懂的语言真实、准确、完整地向个人告知下列事项：（一）个人信息处理者的名称或者姓名和联系方式；（二）个人信息的处理目的、处理方式，处理的个人信息种类、保存期限；（三）个人行使本法规定权利的方式和程序；（四）法律、行政法规规定应当告知的其他事项。

《个人信息保护法》第六条（最小必要）：处理个人信息应当具有明确、合理的目的，并应当与处理目的直接相关，采取对个人权益影响最小的方式。收集个人信息，应当限于实现处理目的的最小范围，不得过度收集个人信息。

《个人信息保护法》第十四条（同意的有效性）：基于个人同意处理个人信息的，该同意应当由个人在充分知情的前提下自愿、明确作出。法律、行政法规规定处理个人信息应当取得个人单独同意或者书面同意的，从其规定。

个人信息的处理目的、处理方式和处理的个人信息种类发生变更的，应当重新取得个人同意。

三、四种典型场景怎么做

场景一：门店扫码领券

这是最高频的场景，也是最容易出问题的地方。合规做法是三步：

1. 扫码后先展示告知页，写清：收集手机号用于发放优惠券与会员服务、保存期限、由谁处理、如何撤回同意。
2. 提供独立的勾选框，默认不勾选，用户主动勾选后才能提交。默认勾选不构成有效同意。
3. 区分营销与交易。若要把手机号用于后续营销推送，必须单独取得同意，不能与「领券」捆绑。

还有一个细节：不得以拒绝授权为由拒绝提供基本服务。用户只要领券，你不必非要手机号——可以改用纸质券、动态码。除非手机号确实是服务所必需。

场景二：小程序与 App 注册

《App 违法违规收集使用个人信息行为认定方法》明确了六类违规：未公开收集使用规则；未明示收集使用目的、方式、范围；未经用户同意收集；收集与业务功能无关的个人信息；违反必要原则收集；未提供删除或更正功能。

落到操作层面，四件事必须做到：

• 首次运行时弹出隐私政策，用户主动点击同意，不能默认同意。
• 不在用户同意前收集设备信息、位置、通讯录。
• 通讯录、位置、相册等权限，用到时再申请，不在启动时一次性索取。
• 提供账号注销与信息删除入口，且路径不超过四步。

场景三：展会名片与线下登记

名片属于个人主动提供，但仍需告知处理目的。合规做法是在收集时同步提供一张告知卡，或在登记表下方加一行说明，并保留签字确认。

把名片信息录入 CRM 用于业务跟进，属于「订立、履行合同所必需」范围内的合理使用。但若拿去群发营销短信、或转给第三方做电销，就需要另行取得同意。

场景四：购买第三方名单（高风险）

这是明确不能做的事。名单来源通常未经个人同意，你作为接收方无法证明合法性基础。《个人信息保护法》要求处理者保证来源合法，一旦被查，买方与卖方同样承担责任。

而且这类名单的转化率极低——被反复倒卖，接听率与信任度都很差，投入产出比远不如合规获客。实际风险却是最重的：可能触发行政处罚、民事赔偿，情节严重还可能涉及侵犯公民个人信息罪。

四、三种必须「单独同意」的场景

「单独同意」意味着不能用一份打包的隐私政策覆盖，必须就特定事项单独弹窗、单独勾选、单独确认。

敏感个人信息包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。手机号本身通常不属敏感信息，但与病历、金融账户、行踪结合后可能构成。

五、营销短信与电话的边界

《民法典》第一千零三十三条明确：除法律另有规定或者权利人明确同意外，任何组织或者个人不得以电话、短信、即时通讯工具、电子邮件、传单等方式侵扰他人的私人生活安宁。

实操三条底线：

• 未经同意不发商业短信。《通信短信息服务管理规定》要求，未经用户同意或请求，不得向其发送商业性短信息。
• 必须提供退订方式。短信中要有明确的退订指引，且退订后不得再次发送。
• 营销电话要能拒接。明确表示拒绝后仍反复拨打，可能构成对生活安宁的侵扰。

自动化决策推送（算法推荐）还需注意第二十四条：应当保证决策的透明度和结果公平、公正，不得对个人在交易价格等交易条件上实行不合理的差别待遇；通过自动化决策方式向个人进行信息推送、商业营销，应当同时提供不针对其个人特征的选项，或者向个人提供便捷的拒绝方式。

六、六项自查清单

1. 有没有告知？收集页是否有显著告知，内容包括处理者身份、目的、种类、期限、权利行使方式。
2. 同意是否有效？是否默认勾选、是否捆绑、是否可撤回、是否有记录。
3. 是否最小必要？每一项收集的信息，能否说明与业务目的的直接关联。
4. 有没有超范围使用？领券的手机号是否被用于营销推送，注册的手机号是否被转给第三方。
5. 留存期限是否明确？到期是否删除或匿名化，有无操作记录。
6. 委托处理是否有协议？短信服务商、CRM 供应商、数据分析方，是否签署数据处理协议并约定安全义务。

七、五个常见误区

• 「客户主动留的号码，可以随便用」——收集目的与使用目的要一致。领券时留的号码，不能直接用于其他品牌的营销。
• 「隐私政策写了就行」——写了但没让用户主动确认，仍属未取得同意。
• 「买了名单，我只发一次」——次数不影响违法性，来源不合法就是违法。
• 「客户信息存在表格里，不算处理」——收集、存储、使用、加工、传输、提供、公开，全部属于「处理」。
• 「删了就没责任了」——已发生的违法行为不因事后删除而消灭，但主动整改可作为从轻情节。

八、四个常见问题

问：只收手机号，不涉及其它信息，也要隐私政策吗？

要。手机号就是个人信息，收集即需告知。可以用简化版告知页，但处理者身份、目的、期限、权利行使方式四项不能省。

问：员工把客户手机号带到新公司，谁承担责任？

员工个人可能承担侵权责任，原单位若管理失职也可能被追责，新公司明知而使用同样违法。三方都有风险，这也是为什么离职交接必须做数据清理。

问：客户同意后，能不能转给合作方做联合营销？

不能仅凭原同意。向第三方提供属于单独同意事项，须告知接收方信息并重新取得单独同意。

问：违规的后果有多重？

《个人信息保护法》第六十六条规定：违法处理个人信息，责令改正、给予警告、没收违法所得，拒不改正的处一百万元以下罚款；情节严重的，处五千万元以下或者上一年度营业额百分之五以下罚款，并可以责令暂停相关业务、停业整顿、吊销许可证或营业执照。此外还有民事赔偿责任，且适用过错推定——由处理者自证无过错。

要点归纳

• 手机号就是个人信息：收集即需合法性基础与告知。
• 同意要主动勾选：默认勾选、捆绑授权、隐藏条款均无效。
• 三种场景要单独同意：向第三方提供、敏感信息、跨境提供。
• 目的要一致：领券留的号码不能拿去做无关营销。
• 买名单不能做：来源不合法，买方卖方同责，且转化率极低。
• 留存与删除要有记录：到期删除、注销可操作，才经得起检查。

如果公司现在有多个获客入口——门店、小程序、展会、电商、直播——建议做一次信息流向梳理：每个入口收了什么、告知了什么、存在哪里、给了谁、留多久。这五项画成一张表，风险点基本就显现出来了。