公司把客户数据用于AI销售画像，是否需要重新告知并取得同意？

公司已有客户的手机号、购买记录和沟通内容，并不意味着可以直接把这些资料导入AI系统，生成消费能力、购买意愿或“容易成交”标签。是否需要重新告知并取得同意，应逐项对照原有处理依据、告知范围和新增用途。技术升级本身不是重新同意的唯一判断标准，新增营销画像也不能仅以“提升服务”概括授权。

本文依据截至二〇二六年九月十二日的有效规则，说明企业使用AI开展客户营销画像、自动推荐和差别报价的法律边界与具体处理步骤。

一、客户是企业，也要识别资料中的自然人信息

企业名称、统一社会信用代码等纯粹法人信息，与可识别具体个人的资料需要区分。企业客户的采购联系人姓名、工作手机号、个人邮箱及沟通记录，仍可能属于个人信息；将其与职位、消费行为或家庭情况关联后，也不会因为业务被称为“企业销售”而自动排除法律适用。

依据《个人信息保护法》第四条、第六条及第十三条，企业应先确认个人信息处理的合法依据，并遵守目的明确、直接相关和最小必要要求。给个人客户履行订单可能具有合同必要性，但进一步预测其支付上限、向其推荐其他产品，不当然属于完成该订单所必需。

企业客户与公司签了合同，也不能直接推定联系人本人是合同一方，从而把所有联系人画像都纳入合同必要范围。我国法律没有把企业自己的商业利益，单独列成可以任意处理个人信息的通用依据。个人公开的工作联系方式，也只可在法定合理范围内处理，公开不等于同意持续追踪和关联分析。对个人明确拒绝，或者处理对其权益有重大影响等情况，还须遵守相应限制及同意规则。

把姓名改成客户编号、手机号打码，通常只是去标识化；仍可回连到客户或通过其他数据识别个人的，仍按个人信息管理。真正无法识别且不能复原的匿名化信息才不属于个人信息，但匿名化之前的收集和处理仍应合法。

二、重新同意看实际变化，不能只改隐私政策标题

原来仅为发货和售后保存的资料，转为预测购买倾向、安排营销频次或制定个性化报价，通常已经出现需要重新评估的目的或方式变化。基于同意处理个人信息时，处理目的、处理方式和信息种类发生变更，应依法重新取得同意；告知事项变化的，还应告知变更部分。把新用途写进网站角落的新版政策，不等于客户已经作出有效同意。

如果原先已经具体、有效地告知并取得相应营销画像同意，本次确实只在原范围内处理，不能仅因软件名称新增“AI”便认定必然需要重复授权。但要检查是否新增外部数据、推断标签、自动定价或接收方，不能用“目的基本兼容”代替第十四条要求的实质审查。主张无需同意的，还须确实符合其他法定依据及其必要范围。

三、告知应说明画像用途，同意应当可以真实拒绝

面向客户的说明至少要讲清谁负责处理、使用哪些数据、生成何类标签、用于什么营销行为、保存多久，以及如何查阅、更正、删除或撤回同意。无需把模型参数堆给客户，但应让其理解实际后果，例如购买记录将用于推荐商品，或者咨询内容将用于评估需求，而非只写“用于优化体验”。

基于同意的可选营销，不宜与下单必需处理捆绑。客户拒绝营销画像，企业不能因此一概拒绝提供原本可以正常完成的产品或服务。应保存告知版本、同意内容、作出时间和撤回记录；预先勾选、以沉默当同意，或者客户明确拒绝后反复弹窗，都不能代替自愿明确的选择。

涉及敏感信息时，同意之外还要有特定目的、充分必要性和严格保护措施；基于同意处理的，还需依法取得单独同意并说明必要性及影响。用AI推断个人疾病、经济困境等，并不能因其不是客户直接填写就忽略风险。标签是否构成敏感信息，要结合具体内容和泄露、误用后果判断，不是所有购买偏好都自动属于敏感信息。

有法定无需同意依据，也不代表其他义务全部免除。企业仍应核对告知、安全、保存期限和个人权利要求，不宜为避免重新征求同意，将原本的商业营销事后改称“履行法定义务”。

四、自动营销要能拒绝，AI不能成为不合理定价的理由

用计算机程序分析个人行为、兴趣或经济状况并作出决策，可能构成自动化决策。只是帮助销售员整理文本，与系统直接决定推荐、价格或者交易资格，影响程度不同；但安排人员机械点击确认，也不当然排除自动化决策规则。应检查系统在真实业务中究竟决定了什么。

个人信息保护法第二十四条要求透明和公平、公正，不得在交易价格等条件上实行不合理差别待遇。自动化推送或商业营销，应同时提供不针对个人特征的选项，或者提供便捷拒绝方式。对个人权益有重大影响的决定，个人还有要求说明、拒绝仅通过自动化决策作出决定的权利，应安排能够实质复核的处理渠道。

对于网络平台服务提供者，《网络数据安全管理条例》第四十二条还明确了易懂、易访问、易操作的个性化推荐关闭选项，以及拒收推送、删除个人特征标签等功能要求。属于上述平台场景的，应具体落实这些功能，不能只设置一个难以找到的退订入口。

二〇二六年九月七日最高法发布的涉人工智能纠纷意见，明确规制利用算法实施不合理差别待遇的“大数据杀熟”。最高法官方答问说明，针对同一商品或服务，经营者利用算法在交易条件上实行不合理差别待遇，侵害合法权益造成损害的，应依法承担相应侵权责任。不同时间、规格、服务内容或公开优惠条件下价格不同，不当然违法，企业应能说明客观依据，不能只回答“系统算出来的”。

五、外部AI服务要分清委托、共享与出境

服务商只按本公司限定的目的、方式处理资料，可能属于委托处理。应约定处理范围、期限、安全措施、返还删除、转委托和监督事项，并实际检查执行。真正的委托处理不能直接与向独立处理者提供信息画等号，但仍须满足原始处理依据、告知和影响评估等要求。

如果服务商还把客户资料用于自身建库、训练通用模型或者销售线索，不能仅凭合同标题写着“技术服务”就视为纯委托。向其他独立个人信息处理者提供资料，应审查第二十三条的告知、单独同意等要求；若主张法定不需同意的情形，应另行证明相应依据。集团内不同公司共享也不当然属于同一主体内部使用。

外部系统是否涉及出境，要查看实际接收方、存储和访问安排，包括境外运维能否获取客户资料，不能只看界面语言或合同签在国内。除评估适用的出境制度路径，还须处理境外接收方信息、权利行使渠道、告知同意和保护影响评估等事项；满足部分程序豁免不等于资料可以任意外传。

国家网信办二〇二六年七月政策问答明确，出境活动属于个人信息保护法第十三条第一款第二项至第七项情形的，不需取得个人同意，但仍应履行出境告知义务。普通营销画像不能因追求销售效率就自动套用这些例外；需取得出境单独同意时，也不得用一揽子授权替代。

六、上线前评估标签和后果，不只检查是否脱敏

利用个人信息进行自动化决策、处理敏感信息、委托处理、向其他处理者提供或向境外提供等活动，应按个人信息保护法第五十五条事前开展保护影响评估并记录。评估要审查目的、方式的合法性和必要性，对个人的风险以及措施有效性，不能把软件通过安全测试当作已经完成全部评估。

营销场景尤其要检查标签是否准确、是否过期、是否把推测写成事实。不能因为某人查询过某产品，就直接认定其健康状况、收入或信用。应标明标签来源与更新时间，对错误画像提供更正途径，并限制销售人员看到的数据范围；不相关的详细聊天内容不应为方便而整库导入。

同时验证拒绝和撤回能否真正传到销售系统、广告渠道和受托服务商，防止前台显示已退订，后台仍持续评分或推送。评估报告和处理记录依法至少保存三年，不等于客户原始资料也都必须保存三年。原始数据、派生标签和证明记录应按各自目的及法定义务分别确定期限。

七、已经开始画像的，应先停超范围用途再补正

对已经运行的系统，先梳理数据从哪里来、由谁接收、生成什么标签、实际触发哪些营销动作。发现缺乏依据或超出范围的部分，应停止相应使用，评估删除、匿名化和通知受托方处理的要求，再补足告知同意及必要措施。后来取得同意，不会自动使之前的违法处理追溯变成合法。

客户撤回同意后，对仅依赖该同意的画像和营销应作相应停止处理；订单凭证等因其他合法依据仍需保存的，应与营销用途分开。符合删除条件的，应依法删除；法定保存期限未满或技术上难以删除时，应限制为存储及必要安全保护，不能一边声称删不了，一边继续用于推荐和定价。

个人要求说明、更正、删除或者反映不合理报价时，企业应保留必要处理记录并及时回应。客户也可保存告知页面、同意和退订记录、相同交易条件下的报价及沟通材料，依法向主管部门投诉或寻求司法救济。判断最终责任仍需结合处理行为、过错及损害等事实，不能仅凭“使用了AI”就认定全部合法或必然侵权。