新规解读：个人信息保护法下的达人数据合规

MCN机构在日常运营中收集和处理大量个人信息：达人的身份证、银行卡、人脸信息；粉丝的昵称、手机号、聊天记录、消费数据。《中华人民共和国个人信息保护法》对这些数据的处理提出了严格要求。本文梳理该法框架下的达人与粉丝数据合规要点。

政策背景

《中华人民共和国个人信息保护法》（中华人民共和国主席令第九十一号，自2021年11月1日起施行）是我国个人信息保护领域的基础性法律，确立了"告知—同意"为核心的处理规则。最高人民法院指导性案例265号（罗某诉某科技公司隐私权、个人信息保护纠纷案）进一步明确：收集用户画像信息若非提供服务所必需，且未提供拒绝选项，属于非自愿同意，不产生同意效力。该案对MCN机构收集粉丝数据具有重要警示意义。

核心条款解读

其一，告知—同意规则。个人信息保护法要求处理个人信息应在充分知情前提下取得个人同意，同意应当自愿、明确。MCN机构收集达人身份证、银行卡信息，应明确告知用途；收集粉丝手机号、消费记录，应通过隐私政策告知。其二，最小必要原则。处理个人信息应限于实现处理目的的最小范围，不得过度收集。机构不应在粉丝关注账号时索取与其无关的通讯录、地理位置。其三，敏感个人信息。人脸、行踪、金融账户、医疗健康等属于敏感个人信息，处理须取得单独同意并有特定目的与充分必要性。其四，不得强迫同意。依据指导性案例265号，不得以拒绝提供非必要信息为由拒绝提供服务。其五，数据共享与委托处理。机构将粉丝数据共享给品牌方、代运营方，须约定数据处理协议，明确双方责任。

对MCN/达人/平台的实务影响

对MCN机构，风险在于"收集容易、合规难"：为投放营销而过度收集粉丝数据、把达人身份证信息随意存放在员工电脑、把粉丝列表导出给品牌方，都可能违反个人信息保护法。对达人，其身份证、人脸、银行信息属于敏感个人信息，机构应妥善保管，不得泄露或超范围使用。对平台，平台对用户数据保护负总责，会要求入驻机构遵守数据合规要求。

合规行动建议

第一，梳理数据清单：盘点机构收集了哪些达人与粉丝数据，分类标注敏感程度。第二，完善隐私政策与授权文件：在签约、粉丝关注、活动报名环节明确告知数据用途。第三，最小化收集：不索取与业务无关的个人信息。第四，数据访问权限管理：达人身份证、银行卡等敏感数据限制访问人员，加密存储。第五，对外共享签协议：向品牌方、合作方提供数据前签订数据处理协议。

展望

个人信息保护执法会持续强化，公益诉讼与民事索赔案例会增多。MCN机构应把数据合规视为基础设施，避免因数据泄露或过度收集承担高额赔偿。

信息来源：《中华人民共和国个人信息保护法》（主席令第九十一号）、最高人民法院指导性案例265号