隐私 政策 多少钱算违法

很多老板的困惑不是「要不要写隐私政策」，而是「我在隐私政策里写收这个钱，到底算不算违法」。常见场景：把用户数据打包卖、按查询次数对第三方收费、对「删除数据」单独收一笔、或者把免费功能悄悄改成按次计费。这篇不给结论式判决，只给可自查的判断口径、需要留的证据，以及哪些情况这套判断不适用。

很多中小企业主的困惑不是「要不要写隐私政策」，而是「我在隐私政策里写收这个钱，到底算不算违法」。这个问法本身就有坑，因为法律盯的不是你有没有标价，而是你收的是谁的钱、拿什么换、不付钱会怎样。同一笔钱，向企业客户收 API 调用费通常没事，向普通用户收「查询自己数据的费用」就可能出事。

这篇不给判决式答案，只给可自查的判断口径、该留的证据，以及哪些场景这套判断不适用。把政策、账单、客服口径三样东西摆在一起对，比背法条有用得多。涉及跨境传输或持牌行业，请另找律师，本文不覆盖。

先分清：收费本身不违法，违的是「收谁的钱、换什么」

收费对象先分三类：向普通用户收、向买数据的第三方收、向数据主体收「行权费」。三者的合规压力完全不同。判断的关键不是金额高低，而是你卖的这项义务，本来是不是你的法定义务。凡是法律规定你必须做的，就不能当成商品标价出售。

• 把每次定价先写成一句话：谁付钱、付钱换到什么、不付钱会失去什么；写不出来就先别上线。
• 政策里出现「可能共享给合作方」「视情况收费」这类模糊表述时，回头找具体条款，找不到就是风险点。
• 同一个功能对不同人群定价不同，要能解释差异来自成本还是身份，解释不清就先统一。
• 哪些不适用：纯企业间的数据服务合同、不含个人信息的产品，判断口径完全不同，别把面向个人用户的思路套过去。

三类最容易踩线的收费形态，逐条对照

下面三类是中小企业最常碰到的收费形态。注意说的是「容易踩线」，不是说一收就违法，具体要看你的告知是否具体、用户是否真的有替代路径。哪一类属于正常商业定价，也一并标出来。

• 按条或按次把可识别到个人的数据对外收费，而告知里只写「可能共享给合作方」——告知不具体是这类的主要问题，不是收费本身。
• 用户行使查阅、更正、删除权利时单独收费，或设充值、开会员之类的变相门槛；这类必须把成本口径在政策里写明白，含糊最危险。
• 免费期大量收集，收费后才发现要另外付钱才能导出或拿回自己的数据，这种数据挟持式定价风险最高。
• 相对安全的一类：因存储、导出、人工核验产生的实际成本，按实收取并在政策里写清计价方式，留有凭证，风险低得多。
• 中间地带：把合规成本摊进整体定价，而不是单列成「隐私服务费」，前者通常更稳。

自查时不要只看文字，把你现在的价目表和政策文案贴一起，一条条问：这条收费对应的是哪项义务？这项义务是不是用户本来就能免费主张的？如果是，就要有非常具体的告知和真实的成本依据。

四步自查：把政策、账单和实际动作对一遍

1. 第一步 抓关键词在隐私政策、用户协议、定价页里搜金额、次数、套餐、会员这几个词，把带收费含义的句子全列出来，逐条问「收谁的钱」。
2. 第二步 对账单把实际收费记录（后台订单、对账单、退款记录）和政策文案对照，不一致的地方以实际动作为准去改政策，别反过来。
3. 第三步 问一线找客服或销售，问他们怎么跟用户解释这些收费。前端口头承诺和后端计费打不通的地方，往往就是投诉和纠纷的起点。
4. 第四步 留档把改前改后的政策版本、生效时间、修订说明留档，后续真要举证时用得上。

这四步只是内部排查，不替代律师意见。涉及跨境传输、金融医疗等强监管行业，或者用户基数已经很大的情况，建议排查完直接找专业意见，不要自己下结论。

免费转收费、涨价与「按次计费」里的坑

产品从免费转收费，或者开始按次计费，是定价问题集中爆发的节点。老用户的数据怎么处理、涨价后原来的授权还算不算数、按次计费到底向谁收，这几件事要在改价方案里一次说清。

什么情况下这篇的判断不适用：产品根本不收集个人信息，或者只处理企业内部员工数据且有独立制度，那大部分对照都不必做。另外，具体收费数字和行业惯例一直在变，别拿别人家的价目表当标准，到 /price-watch 核对当时的数字再动手。