新零售一般是指企业以互联网为依托，通过运用大数据、人工智能等先进技术手段并运用心理学知识，对商品的生产、流通与销售过程进行升级改造，进而重塑业态结构与生态圈，并对线上服务、线下体验以及现代物流进行深度融合的零售新模式。简单来讲，新零售实际上就是传统线下零售门店与线上电商平台深度融合后的新模式，其最大趋势是线上线下相结合，线下实体商业与电商平台由原先的独立与冲突，走向融合与协作。

在新零售业务场景下，经营主体的获客渠道、运营方式以及宣传模式等都将因为网络与新技术的加持，变得更加丰富化、多元化。例如在私域运营过程中，用户的来源不再局限于自有渠道，线上广告、直播及短视频、种草推荐、电商平台等都将是用户流量增长的重要途径；在用户触达层面，除了传统电话定向营销外，还可能存在利用第三方平台进行筛选推送的情形，在该情形下必然会涉及用户信息的交互或使用；在用户信息类型层面，经营主体因算法精准度等需求，可能会收集更为全面的个人信息，包括但不限于手机、邮箱、微信号、设备码、性别、生日、职业、位置、身高、年龄、时间、行程轨迹、健康信息等。据此，新零售模式在众多场景中均涉及大量用户个人信息的收集、处理、加工、传输等环节，因而需要经营主体对个人信息保护合规问题予以重视，避免因个人信息违法行为出现连锁性法律风险与商业风险。

（一）场景一：用户信息收集

在该场景下经营主体重点需要关注的合规要点为“告知与同意”义务。根据《个人信息保护法》第十三条规定，除法律明确规定的特定情形外，个人信息处理者处理个人信息应当取得个人的同意。据此，经营主体若需合法收集用户个人信息，则在程序上必须由用户在充分知情的前提下自愿、明确作出同意的意思表示[1]。第十七条规定，个人信息处理者在处理个人信息前，应当以显著方式、清晰易懂的语言真实、准确、完整地向个人告知法律所规定的事项。据此，经营主体在收集用户个人信息前，其法定义务为清晰全面告知，以保障用户的知情权。

具体到新零售模式交易的实际场景，我们可以将其分为自有线上渠道、第三方电商平台与线下渠道三种情况，具体如下：

第一，自有线上渠道。根据《APP违法违规收集使用个人信息行为认定方法》、《信息安全技术 移动互联网应用程序（App）收集个人信息基本要求》等相关规定或要求，我们建议经营主体自有APP、小程序及公众号均在首次运行或进入时，通过弹框方式展示《隐私政策》，并依法取得用户同意（注意隐私政策必须能够点击查看且不能是默认同意选项）。

第二，第三方电商平台。在入驻电商平台经营的情形下，经营主体往往需要依托于平台本身的隐私政策条款进行用户信息的处理，通常处理的流程是“消费者”先行同意电商平台的《隐私政策》并将其个人信息提供给平台，电商平台再根据业务需要将信息提供至实际经营主体用于发货等事宜。但是在该模式下，一般会认定实际经营主体一方为个人信息的共享者，对于获取的个人信息经营主体除用于发货等事项外，通常不允许进行直接用户营销，否则存在较大的法律风险。基于此，我们建议经营主体可以通过注册品牌或者店面会员的方式进行私域流量的收集，即邀请电商平台消费者成为经营主体品牌或店面的会员，直接合法获取用户个人信息并通过自有《隐私政策》完善营销触达等内容。

第三，线下渠道。经营主体通过线下活动（包括抽奖、游戏等）等方式进行用户个人信息的收集是较为常见的方式，但结合新零售数字化的特点，我们建议经营主体可以开发或使用部分可用于线下信息收集的小程序或公众号，引导线下用户通过线上方式进行信息提供，一方面可以解决《隐私政策》等协议签署的问题，另一方面也方便未来数据的储存、加工及运用。

（二）场景二：广告投放

在该场景下经营主体重点需要关注的合规要点为“通过第三方平台投放广告”的法律责任问题。实践中，经营主体与第三方平台进行广告投放合作的模式包括两类：第一类为经营主体购买广告发布平台的人群包，广告发布平台根据广告主选择的人群包对自有会员进行广告推送；第二类为经营主体挑选出自有的用户人群，广告发布平台将经营主体提供的加密手机号码与自有会员的手机号码进行碰撞得出人群标签，进行扩大投放。在前述两类合作模式下，我们认为经营主体至少应当满足如下合规要求：

第一，在自有《隐私政策》及相关协议中明确告知用户可能会提供给第三方进行广告投送，以满足用户告知同意的要求。

第二，在数据传输过程中进行加密并采用技术手段去标识化，保障个人信息传输过程中的安全。

第三，与广告平台签订合法有效的协议，并约定对方委托处理的相关义务，包括但不限于处理完撞库识别后及时删除经营主体所提供的个人信息、不使用经营主体提供的个人信息进行营销等。

（三）场景三：个性化推荐

在该场景下经营主体重点需要关注的合规要点为“非个性化推送选择”及“用户拒绝推送”的法律问题。根据《个人信息保护法》第二十四条规定，通过自动化决策方式向个人进行信息推送、商业营销，应当同时提供不针对其个人特征的选项，或者向个人提供便捷的拒绝方式。具体到新零售经营模式下，我们认为经营主体至少应当满足如下合规要求：

第一，在隐私政策中充分告知用户基于个性化推荐处理其个人信息，并取得个人同意。

第二，区分个性化推荐和非个性化推荐的内容，例如将产品的界面设置为“推荐”和其他非推荐的界面，且“推荐”二字宜比其他的字体大或粗，让用户可以清晰的看到。

第三，向用户提供关闭个性化推荐的渠道，例如在app中设置专门的关闭功能、允许通过短信方式进行退订等。

第四，禁止通过对用户的数据进行分析后进行大数据杀熟。

第五，满足算法透明的要求，例如以显著方式告知用户其提供算法推荐服务的情况，并以适当方式公示算法推荐服务的基本原理、目的意图和主要运行机制等。

（四）场景四：合作营销

在该场景下经营主体重点需要关注的合规要点为“个人信息处理者之间法律关系”的问题。根据《个人信息保护法》规定，两个个人信息处理者之间可能会出现共同处理、委托处理以及个人信息共享三类情形，在不同情形下各方主体可能承担的法律责任完全不同。因此，厘清不同主体间的法律关系，对于个人信息保护合规来讲十分重要。具体到新零售经营模式，实践中一般会存在三种情况，即经营主体与电商平台共同营销、经营主体与终端零售门店共同营销、零售终端门店要求经营主体提供会员清单。针对前述情形，我们的合规建议如下：

第一，在共同营销的情况下，建议各主体独自收集用户个人信息，法律上各主体互为独立的个人信息处理者。而采用某一方收集个人信息后再提供给另一方的方式风险较大，按照《个人信息保护法》规定共享需要单独征得用户的同意，实际操作层面也存在较大难度。另外，采用共同处理的方式对于双方来讲风险均不可控，建议不予采用。

第二，零售终端门店要求经营主体提供会员清单的模式实际上为个人信息共享，根据法律规定需要征得用户单独同意，操作难度极大。建议实际经营主体采用信息化系统的方式解决合规问题，即使用成熟会员管理系统，通过去标识化的方式提供给零售门店进行使用，以满足个人信息保护的相关法律规定。

（五）场景五：集团内部数据共享

在该场景下经营主体重点需要关注的合规要点为“个人信息共享合法性”的问题。根据《个人信息保护法》第二十三条规定，个人信息处理者向其他个人信息处理者提供其处理的个人信息的，应当向个人告知接收方的名称或者姓名、联系方式、处理目的、处理方式和个人信息的种类，并取得个人的单独同意。具体到新零售经营模式，实践中一般会存在两种情况，即集团统一对下属各个子公司个人信息进行处理、集团下属各个子公司之间进行个人信息交互共享。针对前述情形，我们的合规建议如下：

第一，在集团统一管理的情形下，可以考虑由集团进行会员管理与运营，并在子公司各个获客端口植入单独的集团会员协议与《隐私政策》，实现子公司与集团公司同时收集个人信息的效果。

第二，在需要各子公司共享的情形下，可以考虑在集团内单独成立一家数据类公司，并由数据公司采用法律所允许的方式为各个子公司提供数据类服务（直接交互共享个人信息存在法律风险）。

[1] 除满足程序性要求外，处理者还应当保证其处理的内容满足法律规定。例如收集个人信息，应当限于实现处理目的的最小范围，不得过度收集个人信息。