direct-collection-notice

提供直接收集信息

概述

GDPR 第 13 条要求控制者在直接从数据主体收集个人数据时，向其提供特定信息。必须在收集时提供这些信息，而不能事后补充。本技能提供所需内容的完整清单、分层告知设计指南，以及常见收集场景的模板。

法律依据

GDPR 第 13 条——从数据主体处收集个人数据时应提供的信息

第 13 条第 1 款——第一层（收集时必须提供）

从数据主体处收集与其有关的个人数据时，控制者应在取得个人数据时向数据主体提供以下所有信息：

要素	条款	说明
控制者身份	第 13 条第 1 款 (a) 项	控制者的身份和联系方式；在适用情况下，还包括控制者代表的身份和联系方式
DPO 联系方式	第 13 条第 1 款 (b) 项	在适用情况下，数据保护官的联系方式
目的和法律依据	第 13 条第 1 款 (c) 项	处理目的以及第 6 条规定的法律依据
合法利益	第 13 条第 1 款 (d) 项	在处理依据第 6 条第 1 款 (f) 项的情况下，控制者或第三方所追求的合法利益
接收方	第 13 条第 1 款 (e) 项	个人数据的接收方或接收方类别（如有）
国际传输	第 13 条第 1 款 (f) 项	在适用情况下，说明控制者是否拟将数据传输至第三国或国际组织、是否存在充分性决定，或提供适当保障措施的相关信息，以及获取其副本的方式或其可供查阅的位置

第 13 条第 2 款——第二层（确保公平处理所必需）

除第 1 款所述信息外，控制者还应在取得个人数据时向数据主体提供以下进一步信息，以确保处理公平、透明：

要素	条款	说明
保留期限	第 13 条第 2 款 (a) 项	个人数据将被存储的期限；如果无法确定，则说明用于确定该期限的标准
数据主体权利	第 13 条第 2 款 (b) 项	数据主体享有请求访问、更正、删除、限制处理、反对处理和数据可携带的权利
撤回同意的权利	第 13 条第 2 款 (c) 项	在处理依据第 6 条第 1 款 (a) 项或第 9 条第 2 款 (a) 项的情况下，数据主体有权随时撤回同意，且撤回不影响撤回前基于同意进行处理的合法性
投诉权	第 13 条第 2 款 (d) 项	向监管机构提出投诉的权利
法定／合同要求	第 13 条第 2 款 (e) 项	提供个人数据是否属于法定或合同要求，或订立合同所必需的要求；数据主体是否有义务提供数据，以及未提供数据可能产生的后果
自动化决策	第 13 条第 2 款 (f) 项	是否存在包括画像在内的自动化决策，并提供有关其逻辑、重要性和预期后果的有意义信息
进一步处理	第 13 条第 2 款 (g) 项	如果控制者拟将数据用于原始目的以外的其他目的进行进一步处理，则应提供该其他目的的信息，以及第 13 条第 2 款规定的任何相关补充信息

时机（第 13 条第 1 款首句）

必须在取得个人数据时提供所有第 13 条规定的信息——在收集之前或收集时提供，而不能在收集之后提供。

豁免（第 13 条第 4 款）

在数据主体已经掌握相关信息的情况下，第 13 条第 1 至第 3 款不适用。

直接收集的分层告知设计

原则

EDPB《透明度指南》（WP260 rev.01）建议在直接收集数据时采用分层方法，以兼顾信息完整性与易用性：

第 1 层：即时告知

在收集数据的界面直接显示（例如，在表单上、提交按钮上方或应用屏幕内）：

至少包含以下必需信息：

1. 控制者身份（名称）
2. 收集数据的每项具体目的
3. 可能出乎意料或引起异议的任何处理活动
4. 完整隐私声明的链接（第 2 层）

格式指南：

• 最多 150 个单词
• 在数据收集界面上无需滚动即可看到
• 无需点击即可查看核心信息
• 适当使用图标（依据第 12(7) 条）

第 2 层：完整隐私声明

通过第 1 层中的链接提供，包含第 13(1)(a)-(f) 条和第 13(2)(a)-(g) 条的全部要素。

第 3 层：详细补充信息

可应要求提供，或通过上下文链接访问：

• 完整的合法利益评估
• 完整的国际传输机制文档
• 自动化决策逻辑的详细说明

数据收集场景模板

场景 1：在线注册表单

收集位置： 账户注册页面 收集的数据： 姓名、电子邮件、密码、公司名称、职位 目的： 创建账户并提供服务

即时告知文本：

Meridian Analytics Ltd 将使用您提供的信息创建和管理您的账户，并提供我们的分析服务。我们还可能使用您的电子邮件向您发送与服务相关的通信。请阅读我们的完整隐私声明，了解我们如何使用您的数据、与谁共享数据以及您的权利。

场景 2：订阅新闻简报

收集位置： 新闻简报订阅表单 收集的数据： 电子邮件地址、姓名（可选） 目的： 营销通信

即时告知文本：

订阅即表示您同意 Meridian Analytics Ltd 向您发送有关我们产品和服务的营销邮件。您可以随时点击任何邮件中的链接取消订阅。我们不会出于营销目的与第三方共享您的电子邮件地址。请阅读我们的完整隐私声明。

场景 3：联系表单／支持请求

收集位置： 联系我们／支持表单 收集的数据： 姓名、电子邮件、公司、消息内容 目的： 回复咨询

即时告知文本：

Meridian Analytics Ltd 将使用您提供的信息回复您的咨询。我们将保留您的消息 3 年，以维护服务质量。请阅读我们的完整隐私声明。

场景 4：活动注册

收集位置： 活动／网络研讨会注册表单 收集的数据： 姓名、电子邮件、公司、饮食要求（线下活动时） 目的： 活动管理和后续跟进

即时告知文本：

Meridian Analytics Ltd 将使用您的信息管理活动注册，并向您发送与活动相关的通信。如果您提供饮食要求，该信息将基于您的明确同意进行处理，并且仅与本次活动的餐饮供应商共享。请阅读我们的完整隐私声明。

合规检查清单

每新增一个数据收集点，都应核实：

• 第 13 条第 1 款(a)：显示控制者名称和联系方式
• 第 13 条第 1 款(b)：可获取数据保护官（DPO）的联系方式（直接提供，或通过链接访问完整告知书）
• 第 13 条第 1 款(c)：说明每项处理目的及其法律依据
• 第 13 条第 1 款(d)：说明合法利益（若依据第 6 条第 1 款(f)处理）
• 第 13 条第 1 款(e)：说明接收方（直接提供，或通过链接访问完整告知书）
• 第 13 条第 1 款(f)：提供国际传输信息（如适用）
• 第 13 条第 2 款(a)：说明保留期限或确定期限的标准
• 第 13 条第 2 款(b)：列出数据主体权利及其行使方式
• 第 13 条第 2 款(c)：说明撤回同意的权利（若处理基于同意）
• 第 13 条第 2 款(d)：说明向 ICO 投诉的权利
• 第 13 条第 2 款(e)：说明是否必须提供数据，以及不提供数据的后果
• 第 13 条第 2 款(f)：披露自动化决策信息（如适用）
• 在收集数据时或之前提供信息
• 采用分层方式：即时告知 + 链接至完整告知书
• 语言清晰、易懂，并适合受众
• 告知内容无需额外点击或滚动即可看到