网站不声明隐私政策是违法的吗

《个人信息保护法》第17条摆在那里：处理个人信息前，网站必须以显著方式、不声清晰易懂的明隐语言，真实、私政准确、策违完整地向个人告知处理者名称、网站处理目的不声、处理方式、明隐保存期限等事项。私政翻译成大白话——你开了个网站，策违只要在收集用户的网站手机号、邮箱、不声浏览记录，明隐就得告诉人家你拿去干什么。私政不告诉？策违那就是违法。

但现实里，大量网站压根没有隐私政策。你点开一些中小企业的官网，翻到页面底部，只有版权声明和备案号，点来点去找不到任何关于“隐私”两个字的链接。更离谱的是，有些网站连“联系我们”都只有一个邮箱，你根本不知道谁在运营、数据存到哪台服务器上。

我上个月帮朋友查一个本地装修公司的网站。他想预约量房，页面弹出一个表单，要填姓名、电话、小区地址。表单下方没有任何勾选框，没有“我已阅读并同意隐私政策”的字样，底部也没有隐私政策链接。我顺手用浏览器开发者工具看了一下表单提交的接口地址——数据直接发到该公司自己的服务器，没有加密。这意味着什么？用户的姓名、电话、家庭住址在公网上裸奔。这家公司显然没把《个人信息保护法》当回事。

那是不是所有不声明隐私政策的网站都违法？也不尽然。关键看它有没有“处理个人信息”。如果一个网站纯静态，只有几篇介绍文章，不收集任何用户数据，不设留言板、不装统计代码、不弹表单，那它确实不需要隐私政策。但问题是，现在有几个网站能做到完全不碰用户数据？你挂个百度统计，用户的IP、访问时长、点击轨迹就被记录了。你用CDN加速，用户的请求日志就落在服务商那里。这些都属于个人信息处理行为。

有人会抬杠：小网站没人管，违法又怎样？确实，监管部门目前主要盯着大平台和屡教不改的。但法律就是法律，不因为执法频率低就变成一纸空文。2023年浙江有一家做本地招聘的小网站，因为没写隐私政策且收集了求职者身份证号，被网信办责令整改并罚款。案子不大，但信号明确：不是不查，是还没轮到你。

更实际的风险来自用户投诉。你想想，一个用户在你网站上填了电话，转头接到推销电话，他要是较真，截图你的表单页面，发现连隐私政策都没有，直接12377举报。你连“我已经告知了”这个最基本的抗辩理由都拿不出来。罚款是一方面，应用商店下架、搜索引擎降权、支付接口被关，这些连锁反应才要命。

那写一份隐私政策很难吗？其实不难。网上有大量模板，改改公司名、收集字段、使用目的就能用。难的是心态——很多站长觉得这是形式主义，是给用户看的废话。但法律要的就是这个“形式”。这个形式本身就是在提醒你：你在处理别人的信息，你得负责任。连形式都不愿意走，说明你根本没把用户数据当回事。

我见过一个独立博客，就一个人写文章，连评论功能都没开。他在底部放了一个隐私政策链接，点进去写得很简单：本站使用Cloudflare CDN，会记录访问IP用于安全防护；不设Cookie追踪；不收集任何表单信息。三句话，合规了。你看，不是能力问题，是意识问题。

所以回到标题那个问题：网站不声明隐私政策是违法的吗？只要你在收集个人信息，就是。别拿“小网站没人管”安慰自己。用户不投诉是懒得投诉，不是没权利投诉。真被盯上那天，你连一份像样的文书都拿不出来，那才叫难看。