经常在APP订酒店的朋友注意了！你随手勾选的隐私政策，可能藏着个人信息被跨境传输的风险。最近广州法院判了一起涉外个人信息侵权案：消费者左某订了一间缅甸的酒店，信息却被传到了法国、美国等6个国家，有的甚至被拿去做营销，最终酒店集团被判赔2万元，还要删除所有信息、赔礼道歉。这到底是怎么回事？我们一起来看看。

 案情回顾：订一间酒店，信息被传到6个国家

左某2021年花2588元买了两张雅某集团的A佳会员年卡，能以优惠价订雅某旗下的酒店。2022年2月，他打算去缅甸仰光出差，在客服指引下下载了雅某的官方APP，注册时顺手勾选了页面底部的《客户个人数据保护章程》，之后就顺利预定了3月的仰光某酒店，过程中提交了姓名、国籍、手机号、邮箱、银行卡号等不少个人信息。

订完酒店后左某越想越不对劲，仔细翻了翻之前没看的隐私章程，发现里面居然写着“个人信息可能共享给全球多个地区的接收主体”，但具体传去了哪些国家、给了什么公司、用来做什么，章程里说得模模糊糊。左某越想越担心，直接把雅某的中国关联公司爱某商务公司，还有法国雅某集团一起告上了法院，要求对方删除自己全部个人信息、公开赔礼道歉，还要赔偿损失。

法庭上雅某集团提交了一份《境外接收方及信息传输列表》，大家才知道左某的信息居然被传到了法国、缅甸、英国、美国、荷兰、爱尔兰6个国家的7个接收方手里，其中美国和爱尔兰的两家公司，拿到信息的目的是“营销传播”。雅某方面辩称：这些信息传输都是履行酒店预订合同必需的，消费者已经勾选了隐私章程，等于同意了传输规则。

 法律分析：勾选隐私政策≠你真的同意了

这起案件的核心争议点其实是两个：左某随手勾选隐私章程，算不算法律上的“知情同意”？酒店集团跨境传信息，真的是履行合同必需的吗？

首先要明确，虽然雅某是法国公司，但双方都同意适用中国法律，所以整个案件是按照我国《个人信息保护法》来审理的。根据个保法的要求，处理个人信息首先要满足“告知-同意”的核心规则：平台得用大家看得懂的话，明明白白告诉消费者信息会被怎么用、传给谁、传到哪里，消费者的同意才是有效的。如果平台搞“一揽子打包授权”，隐私政策写得含糊其辞，就算用户点了勾，也不算合法的同意。

本案里雅某的隐私章程就有这个问题：只说会传给“多个国家的集团内部人员、商业伙伴、营销人员”，既不说具体是哪些国家，也不说每个接收方拿信息做什么，用户就算逐字读完，也搞不清自己的信息会流去哪里，完全不符合个保法要求的“公开透明、清晰易懂”的告知标准，所以左某的勾选动作根本不算有效同意。

再看雅某说的“履行合同必需”这个理由。个保法确实规定，如果是为了履行和消费者的合同必需，可以不用经过同意就处理个人信息，但这个“必需”是有严格限制的，必须符合“最小必要”原则：能少收集就少收集，能不传给第三方就不传。

比如订酒店确实需要姓名、手机号、银行卡号这些信息，传给酒店所在地缅甸的运营方、处理支付的机构是合理的，但把信息传给美国、爱尔兰的公司做“营销传播”，这和左某订酒店的合同目的完全没关系，明显超出了“必需”的范围，这部分传输没有任何合法依据。

 律师说法：跨境传输个人信息红线不能碰

承办这类个人信息案件的律师表示，现在很多跨国企业、涉外服务平台都有跨境传输个人信息的需求，但必须严格遵守我国个保法的三条红线：

第一是“告知要充分”：不能用晦涩的法律术语、模糊的表述打马虎眼，必须明确告知用户信息出境的目的地、接收方身份、信息处理的具体用途，用户有权单独同意是否出境，不能和其他服务条款打包在一起强迫授权。

第二是“范围要最小”：如果是为了履行合同必需出境，那出境的信息类型、接收方范围都要刚好够完成合同，不能为了营销、大数据分析这些额外目的随便传信息。

第三是“合规要到位”：如果需要大量向境外提供个人信息，还要按规定做安全评估、认证或者签订标准合同，不能偷偷摸摸就把国内用户的信息传到境外。

本案中雅某既没有做到充分告知，又超出必要范围把用户信息拿去做营销，侵权事实非常清楚，所以法院才会判决雅某赔礼道歉、赔偿2万元损失，还要删除左某在所有接收方处的全部个人信息。

 温馨提示：注册APP别乱勾隐私政策

大家平时注册各类APP、使用涉外服务的时候，一定要注意这几点：

1. 不要上来就直接勾选“我已阅读并同意隐私政策”，尽量花1分钟翻一翻核心条款，尤其是有没有个人信息出境、共享给第三方的内容，发现表述模糊的可以直接询问客服，实在接受不了就不要注册。

2. 涉及涉外订酒店、买机票、海淘这类服务时，尽量选择合规性好、信息披露明确的大平台，不要在不知名的小网站随便填身份证、银行卡、住址这类敏感信息。

3. 如果发现自己的个人信息被违规处理、跨境传输，要及时保留证据，比如截图隐私政策、订单记录、沟通记录，可以向网信部门投诉，也可以像左某一样起诉维权，个保法明确规定了个人信息权益受损可以要求赔偿，合理的律师费、公证费都可以主张对方承担。

个人信息是每个公民的重要权益，哪怕是跨国企业，只要在中国境内提供服务，就必须遵守中国的法律，不能拿“行业惯例”“全球统一规则”当借口侵犯消费者的知情权。我们作为消费者也要多留个心眼，别让随手的一个勾选，把自己的信息“送”到了国外。

你平时注册APP会仔细看隐私政策吗？有没有遇到过个人信息被违规使用的情况？欢迎在评论区留言讨论~

互动投票：你注册APP时会认真阅读隐私政策吗？

A. 从来不会，直接勾同意

B. 会大概扫一眼有没有敏感条款

C. 会仔细看完再决定同不同意

（本普法案例参照一审：广州互联网法院（2022）粤0192民初6486号民事（2023年9月8日） 二审：广州市中级人民法院（2023）粤01民终33217号民事判决（2024年6月28日）：左某诉爱某商务咨询（上海）有限公司、雅某股份有限公司（ACCOR SA）个人信息保护纠纷案编写）