2021年11月1日，《中华人民共和国个人信息保护法》正式施行，这在很大程度上改变了企业营销部门的日常工作方式。过去那种靠批量购买名单、群发短信、随意拨打电话的粗放式营销模式，在法律框架下已经走不通了。许多企业的营销负责人感到困惑：营销还要不要做？法律红线在哪里？这篇内容从营销部门的实际工作场景出发，梳理个人信息保护法带来的具体影响和应对策略。
个人信息保护法确立了个人信息处理的核心原则，就是告知同意。营销部门在收集客户的姓名、电话、邮箱、地址等个人信息之前，必须清晰告知收集的目的、方式和范围，并获得客户的明确同意。这就意味着，营销活动中常用的默认勾选同意、捆绑同意、模糊授权等做法不再被允许。企业在设计用户注册、活动报名、资料下载等流程时，必须设置独立的同意选项，让用户自愿、明确地作出选择。
个人信息保护法对自动化决策作出了专门规定。营销活动中广泛使用的用户画像、个性化推荐、精准广告推送等自动化决策手段，需要向用户提供不针对个人特征的选择权。用户在收到个性化推荐时，应当能方便地关闭推荐或选择非个性化版本。这对依赖算法推荐的电商平台和内容平台影响尤为明显，营销部门需要与技术团队协同，在产品功能层面实现用户的选择退出机制。
个人信息保护法对营销短信和电话营销产生了直接影响。按照法律规定，利用个人信息进行商业营销，必须征得用户的同意，而且用户有权随时撤回同意。对于已经收集的用户信息，企业需要建立便捷的撤回同意机制。过去那种买了名单就群发短信的做法已经属于违法行为。营销部门需要重新梳理客户信息收集的合法来源，必须确保每一个联系人的信息都有合法的同意基础。
个人信息保护法要求企业建立个人信息保护影响评估制度。在开展营销活动之前，特别是涉及大量个人信息处理、自动化决策或敏感个人信息时，应当事先进行个人信息保护影响评估。评估内容包括个人信息的处理目的、方式是否合法正当，对个人权益的影响及安全风险，以及所采取的保护措施是否有效。评估报告需要保存至少三年备查。
个人信息保护法对跨境传输个人信息提出了严格限制。如果跨国企业的营销活动涉及将中国用户的个人信息传输到境外，必须通过国家网信部门组织的安全评估，或者获得专业机构的个人信息保护认证，或者与境外接收方签订标准合同。营销部门在规划跨境营销活动时，必须提前判断是否触发跨境传输的要求。
个人信息保护法赋予了个人更多的信息权利，包括查阅权、复制权、更正权、删除权等。营销部门需要建立配套的客户权益响应机制。当客户要求查阅自己被收集了哪些数据、要求删除账户信息时，企业必须在合理期限内作出回应。这要求营销部门与法务、IT部门协同，打通客户数据管理的闭环。
从执法实践来看，个人信息保护法实施以来，网信部门、市场监管部门已经查处了多起违法违规收集使用个人信息的案件，不少知名企业都收到了罚单。违法处理个人信息的，较高可处五千万元以下或上一年度营业额百分之五以下的罚款，情节严重的还可能被责令暂停相关业务。营销部门作为个人信息处理的直接参与方，需要将合规意识纳入日常工作流程。
营销部门可以采取几项具体行动来落实个人信息保护法要求。第一，全面梳理本部门收集和使用的个人信息数据，建立数据清单。第二，检查所有数据收集场景的同意机制是否合规。第三，建立客户信息生命周期管理制度，明确数据保留期限和删除机制。第四，定期开展营销人员的个人信息保护培训。第五，与法务和IT部门建立协作流程，确保营销活动的合规审核前置。
个人信息保护法并不是要限制营销活动，而是推动营销从粗放式向精细化、合规化转型。合规的营销模式反而能让企业在客户信任度方面获得竞争优势。当客户知道企业尊重和保护他们的信息权益时，更愿意与品牌建立长期关系。
常见问题
Q1：营销部门还能买客户名单吗？ A：不能购买未经授权的个人信息名单。所有营销使用的个人信息必须有合法的来源基础，要么是用户主动提供并同意，要么来自合法公开渠道。
Q2：个性化推荐还允许做吗？ A：允许，但必须向用户提供不针对个人特征的备选方案，且用户应当能方便关闭个性化推荐功能。
Q3：客户的撤回同意权利如何实现？ A：企业应当在营销渠道中设置便捷的退出机制，如一键退订、隐私设置页面等，并在收到撤回请求后及时处理。
