收集客户身份证和联系方式，隐私告知应包含哪些内容？

企业收集客户身份证和联系方式前，隐私告知至少要写明企业名称与联系方式、收集哪些信息、处理目的和方式、保存期限，以及客户怎样查阅、更正、删除或撤回同意。若身份证件信息用于实名核验、融资、住宿登记等特定场景，还应说明收集的必要性和可能影响；信息交给物流、平台或合作机构时，要区分委托处理与向第三方提供，分别落实告知、协议和同意要求。

佛山企业在门店登记、设备安装、售后维修、会员办理、车辆租赁和项目进场中，常会要求客户提供姓名、手机号码和身份证照片。表单上只写一句“用于业务办理”，无法让客户知道身份证照片会存到哪里、谁能查看、何时删除。把整套隐私政策链接藏在二维码末端，也未必满足显著、清晰和便于查阅的要求。

一先问清为什么需要身份证

联系方式常用于确认订单、安排配送、售后联系或发送账单。身份证件信息的处理目的需要更具体。企业应逐项确认：

1. 是否有法律、行政法规规定的实名或身份登记义务；

2. 是否为核验合同相对方、办理融资保险、进入特定场所所需；

3. 只核对姓名和证件号码能否达到目的；

4. 是否真的需要保存身份证正反面照片；

5. 能否现场核验后只记录结果，减少证件副本留存；

6. 客户拒绝提供后，哪些服务无法办理，哪些服务仍可提供。

“公司一直这样做”不能替代必要性判断。售后上门若只需联系人、地址和电话，额外收集身份证照片可能超出业务所需。确需留存时，应限制查看、下载和转发，并在目的完成后按规则删除。

二隐私告知的六项基础内容

1 谁在处理信息

告知中写明实际签约或提供服务的公司全称、联系地址或有效联系方式。集团品牌有多家主体时，不能只写品牌名。门店、平台和总部共同决定处理目的与方式的，还要梳理各自角色。

2 收集哪些具体信息

建议按字段列明，例如姓名、手机号码、收货地址、身份证件类型、证件号码、证件影像、开票信息。不要只写“身份信息”“必要信息”。是否拍照、是否读取芯片、是否做人脸比对，也应分别说明。

3 为什么收集以及怎样使用

每类信息对应具体目的：手机号码用于订单确认和售后联系，地址用于配送安装，身份证件用于依法实名登记或核验签约身份。若还要用于营销、画像或风险评估，应单独说明，不能借履约名义一并处理。

处理方式可以写明收集、存储、查询、校验、传输、委托处理和删除。涉及自动化决策、公开或跨境时，还需根据场景补充相应事项。

4 保存多久

可以给出明确期限，也可以说明可理解的确定方法，例如“合同履行完毕及法定争议处理期限届满后删除或匿名化”。“长期保存”“业务需要期间”缺少边界。不同资料的保存依据不同，联系方式、身份证影像、交易凭证不必使用同一期限。

5 客户怎样行使权利

提供查阅、复制、更正、补充、删除、限制处理和撤回同意的申请渠道。可设置专用邮箱、客服电话、线上入口或门店窗口，并说明身份核验方式和处理流程。渠道要能实际使用，不能公布无人维护的邮箱。

6 拒绝提供会有什么影响

说明哪些信息属于完成服务所需，缺少后无法办理哪一步；可选信息不提供时，不应影响基础服务。把全部字段设置成必填，会削弱最小必要原则，也让同意缺少真实选择。

三身份证件信息需要增加哪些说明

《个人信息保护法》第二十八条列举特定身份、金融账户、行踪轨迹等敏感个人信息。身份证件信息在具体场景中可能对人格尊严、人身或财产安全产生较高风险，企业宜按较高保护要求管理。涉及敏感个人信息时，处理要有特定目的和充分必要性，采取严格保护措施，并按规定取得单独同意；告知内容还应增加处理的必要性以及对个人权益的影响。

可采用分层告知。基础页面说明订单与联系方式处理，身份证收集页面再突出显示：用途、具体字段、是否留存影像、保存期限、访问人员、拒绝提供的后果和保护措施。单独同意应与普通会员条款、广告推送同意分开，避免一个勾选框打包全部事项。

身份证照片上传后，可以设置自动加水印、限制下载、字段遮蔽、加密存储和访问日志。需要人工查看时，仅向相应岗位开放；核验完成后没有留存必要的，及时删除影像或只保留核验结果。

四履行合同是否都要客户同意

个人信息处理可以基于同意，也可能基于法律规定的其他情形。《个人信息保护法》第十三条规定，为订立、履行个人作为一方当事人的合同所必需，可以处理个人信息。企业应当证明“所必需”的范围，并继续履行告知、最小必要、安全保护和个人权利保障等义务。

例如，网购配送需要姓名、电话和地址，这些字段与合同履行有直接联系；将同一手机号码用于长期营销，不属于完成该次配送所需，需要另行寻找合法依据。身份证照片是否为合同履行所需，取决于业务性质、法律要求和替代方案，不能套用统一结论。

即使企业选择以同意为基础，也要让客户在充分知情的前提下自愿、明确作出。处理目的、方式或信息种类发生变化时，应重新审查并按规定取得同意。

五交给物流或平台时怎样告知

企业委托物流公司按指令配送，双方可以构成委托处理关系。企业应与受托方约定处理目的、期限、方式、信息种类、保护措施和双方权利义务，并监督其处理活动。服务结束后，受托方按约返还或删除信息，未经同意不得擅自转委托。

若合作机构自行决定使用客户信息，例如独立开展营销、风控或其他服务，可能属于向其他个人信息处理者提供。此时应向客户告知接收方名称或姓名、联系方式、处理目的、方式和信息种类，并按法律要求取得单独同意。

企业可以在告知文本中设置“接收方清单”，列出名称、处理场景、字段和联系方式。接收方变更时及时更新并评估是否需要重新告知或取得同意，别用“可能与合作伙伴共享”覆盖全部情况。

六线下纸质表格怎样做到有效告知

线下门店可以在收集页面旁放置简明告知，字体、位置和阅读时间要合理。客户签字区域应与告知内容关联，身份证收集等高风险事项使用独立勾选或签字栏。完整规则可通过纸质文本、二维码或电子页面提供，并保证客户能够保存。

电话收集时，客服脚本应说明身份、目的、字段、保存和权利渠道，录音前按场景履行提示。微信收集身份证照片时，可先发送简明告知和完整规则链接，客户确认后再上传到受控入口；不建议长期留在员工个人聊天记录中。

业务人员还要避免“先收后告知”。客户已经发送证件后再补发隐私政策，难以体现处理前告知。系统表单应把告知确认设置在上传或提交之前，并保存告知版本、确认时间与渠道。

七隐私告知写完后还要验证后台是否一致

前台写“仅用于身份核验”，后台却把证件照片同步给销售、客服和外包人员，告知文本再完整也无法解决实际处理超范围问题。企业应把文字与系统、岗位、合同逐项核对：

• 表单字段是否与告知清单一致；

• 权限是否限制在业务所需岗位；

• 第三方接口是否都进入接收方台账；

• 保存期限届满后能否自动删除或转入受限档案；

• 客户提出删除、更正或撤回时，系统能否响应；

• 员工下载、导出和转发是否有日志与审批。

2025年5月施行的《个人信息保护合规审计管理办法》及其指引，将处理者身份、信息清单、处理目的和方式、保存期限、权利渠道等列为审计关注事项。企业可以据此对现有告知做一次反向测试：从一条客户记录出发，能否证明每个字段的来源、目的、权限、共享和删除安排。

佛山孟翔律师实务提醒

佛山企业若有门店、销售团队和多个外包服务商，建议先选“客户身份证照片”做专项盘点。统计哪个环节要求上传、员工怎样接收、存储在哪个系统、谁能下载、是否发给第三方、业务结束后怎样删除。再用盘点结果修改告知，能减少文本与实际流程脱节。

孟翔律师是广东佛山执业律师、广东尚尧律师事务所执行主任、兰州大学法律硕士，长期关注企业合规、合同商事争议与数据风险。隐私告知的质量不取决于篇幅，而在于客户能否看懂企业收什么、为什么收、保存多久、给谁使用，以及怎样提出异议。

常见问题

客户已经签合同，还需要单独看隐私告知吗？

需要履行相应告知义务。合同条款可以承载部分内容，但个人信息事项应显著、清晰、便于查阅。涉及敏感个人信息或向其他处理者提供时，还要根据法律要求落实单独同意。

身份证复印件写了“仅供办理业务使用”就够了吗？

用途标注能降低被挪用风险，不能替代处理前告知、必要性审查、权限控制和到期删除。企业仍要说明为何留存及怎样保护。

客户撤回同意后，企业要删除全部交易资料吗？

撤回不影响撤回前基于同意开展的处理。仍有合同履行、争议处理或法定义务依据的资料，可以在相应范围和期限内保存；与这些目的无关的处理应停止，并按规则删除或匿名化。

用二维码链接完整隐私政策是否合规？

二维码可以作为完整规则入口，前提是收集前有显著的简明提示，链接可正常打开、便于保存，重要事项没有被隐藏。线下无法扫码的客户还应有其他查阅方式。

企业管理者现在可以检查现有客户表单：公司主体、字段、目的、保存期限、权利渠道和第三方接收是否写清。发现表单仍使用“为提供更好服务，可能收集必要信息”这类笼统表述，应先按真实业务流程补齐内容，再继续新增收集。