【深房中协·知识问答】客户信息收多少、存多久、谁能看？从业者的数据边界

首段：【深房中协·知识问答】：《中华人民共和国个人信息保护法》第六条要求收集个人信息限于实现处理目的的最小范围，第十三条确立「取得同意」的处理前提；《中华人民共和国消费者权益保护法》第二十九条要求明示收集使用信息的目的、方式和范围。客户信息不是收得越多越好。

常见问题

Q｜带看登记要填身份证号、收入情况，这些都必须收集吗？

A｜按最小必要原则筛一遍。依据《中华人民共和国个人信息保护法》第六条，处理个人信息应当具有明确、合理的目的并与之直接相关，收集应当限于实现处理目的的最小范围，不得过度收集。带看登记的核心目的是联系与记录，身份证号、收入细节若无对应业务必要（如后续代办贷款且客户签约），不宜在带看环节前置收集。

Q｜客户信息在机构内部谁能看、怎么管？

A｜依据《中华人民共和国个人信息保护法》第九条，个人信息处理者应当对其个人信息处理活动负责，并采取必要措施保障所处理的个人信息的安全；第五十一条要求采取相应的加密、去标识化等安全技术措施，制定内部管理制度和操作规程，合理确定个人信息处理的操作权限。落到机构层面：分级授权访问、离职人员权限回收、导出留痕，都是必要动作。

Q｜合作方（按揭服务公司）要用客户资料，直接转发可以吗？

A｜不可以直接转发。依据《中华人民共和国个人信息保护法》第二十三条，向其他个人信息处理者提供个人信息的，应当告知接收方名称、联系方式、处理目的、处理方式、信息种类，并取得个人单独同意；第二十一条要求委托处理个人信息的，与受托人约定处理目的、期限、方式、种类、保护措施并监督其处理活动。客户资料外发前，先补齐「告知＋单独同意」或「委托协议＋监督」两套程序之一。

Q｜客户资料存了五六年了，能不能继续留着「备用」？

A｜不建议。依据《中华人民共和国个人信息保护法》第十九条，个人信息的保存期限应当为实现处理目的所必要的最短时间；第四十七条明确处理目的已实现或不再必要的，应当主动删除。「备用」不构成继续保存的合法事由，长期囤积客户资料反而放大泄露风险与合规责任。建议建立到期清理机制。

规则依据

中华人民共和国个人信息保护法发布主体：全国人民代表大会常务委员会

第六条：处理个人信息应当具有明确、合理的目的，并应当与处理目的直接相关，采取对个人权益影响最小的方式。收集个人信息，应当限于实现处理目的的最小范围，不得过度收集个人信息。
第九条：个人信息处理者应当对其个人信息处理活动负责，并采取必要措施保障所处理的个人信息的安全。
第二十一条：个人信息处理者委托处理个人信息的，应当与受托人约定委托处理的目的、期限、处理方式、个人信息的种类、保护措施以及双方的权利和义务等，并对受托人的个人信息处理活动进行监督。
第二十三条：个人信息处理者向其他个人信息处理者提供其处理的个人信息的，应当向个人告知接收方的名称或者姓名、联系方式、处理目的、处理方式和个人信息的种类，并取得个人的单独同意。
第十九条：除法律、行政法规另有规定外，个人信息的保存期限应当为实现处理目的所必要的最短时间。

中华人民共和国消费者权益保护法发布主体：全国人民代表大会常务委员会