【问题引入】
一年级的孩子手腕上那块电话手表，是家长买来定位用的。开学前刚换的新款，宣传页上写着「精准定位、上课禁用、一键呼救」。用了两个月，家长群里有人贴出截图：同款手表的配套 App 后台，能看到过去三十天的完整行动轨迹，连哪天下午进了哪家便利店都有记录。
群里一下就炸了。
家长的第一反应不是卸载，是先去翻隐私协议。那份协议两千多字，注册时没人读完，中间夹着一句「为提供更好的服务，我们可能收集您的位置、通讯录、设备信息」。
问题卡在身份上：注册账号用的是家长手机号，戴着表出门的却是孩子。位置、人脸、声纹、每天的行走路线，指向的都是一个不满十四周岁的人。
这两年这类设备卖得飞快，儿童手表、学习平板、智能音箱、作业批改 App，卖点越做越细。家长心里发毛的地方在于，没人说得清数据最后去了哪里、存多久、给谁看过。
能不能让厂商停手、把已经收走的删掉、再要一笔赔偿，得先看法条把这些信息放在哪一档。
【法条原文】
下面这七条，分成四组看：儿童个人信息属于什么档次（个人信息保护法第二十八条）、处理时要多走哪几步（第二十九条、第三十一条）、厂商能拿什么理由拒绝（第十三条）、闹到法院怎么算（第六十九条、未成年人保护法第七十二条、民法典第一千零三十四条）。挑的是直接回答这四件事的条文，没有把总则和罚则整章抄下来。
- 《中华人民共和国个人信息保护法》第二十八条（2021-08-20，现行有效）：敏感个人信息是一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。 只有在具有特定的目的和充分的必要性，并采取严格保护措施的情形下，个人信息处理者方可处理敏感个人信息。
- 《中华人民共和国个人信息保护法》第二十九条（2021-08-20，现行有效）：处理敏感个人信息应当取得个人的单独同意；法律、行政法规规定处理敏感个人信息应当取得书面同意的，从其规定。
- 《中华人民共和国个人信息保护法》第三十一条（2021-08-20，现行有效）：个人信息处理者处理不满十四周岁未成年人个人信息的，应当取得未成年人的父母或者其他监护人的同意。 个人信息处理者处理不满十四周岁未成年人个人信息的，应当制定专门的个人信息处理规则。
- 《中华人民共和国个人信息保护法》第十三条（2021-08-20，现行有效）：符合下列情形之一的，个人信息处理者方可处理个人信息： （一）取得个人的同意； （二）为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需； （三）为履行法定职责或者法定义务所必需； （四）为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需； （五）为公共利益实施新闻报道、舆论监督等行为，在合理的范围内处理个人信息； （六）依照本法规定在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息； （七）法律、行政法规规定的其他情形。 依照本法其他有关规定，处理个人信息应当取得个人同意，但是有前款第二项至第七项规定情形的，不需取得个人同意。
- 《中华人民共和国个人信息保护法》第六十九条（2021-08-20，现行有效）：处理个人信息侵害个人信息权益造成损害，个人信息处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任。 前款规定的损害赔偿责任按照个人因此受到的损失或者个人信息处理者因此获得的利益确定；个人因此受到的损失和个人信息处理者因此获得的利益难以确定的，根据实际情况确定赔偿数额。
- 《中华人民共和国未成年人保护法》第七十二条（2024-04-26，现行有效）：信息处理者通过网络处理未成年人个人信息的，应当遵循合法、正当和必要的原则。处理不满十四周岁未成年人个人信息的，应当征得未成年人的父母或者其他监护人同意，但法律、行政法规另有规定的除外。 未成年人、父母或者其他监护人要求信息处理者更正、删除未成年人个人信息的，信息处理者应当及时采取措施予以更正、删除，但法律、行政法规另有规定的除外。
- 《中华人民共和国民法典》第一千零三十四条（2020-05-28，现行有效）：自然人的个人信息受法律保护。 个人信息是以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息，包括自然人的姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等。 个人信息中的私密信息，适用有关隐私权的规定；没有规定的，适用有关个人信息保护的规定。
【深度理解】
把第二十八条读一遍就会发现，立法者给儿童信息加了两道锁。第一道是归类：不满十四周岁未成年人的个人信息，不问内容，一律按敏感个人信息对待。行踪轨迹、生物识别本来就单独列在敏感清单里，儿童手表同时踩中好几项。归类不是文字游戏，它直接把处理门槛抬到了下一款那句「特定的目的和充分的必要性，并采取严格保护措施」。
另一道锁落在处理前提上。目的要特定，必要性要充分，保护措施要严格，三样缺一样，后面同意写得再漂亮也补不回来。
这意味着厂商那套「用户勾选了协议」的说辞，分量没有想象中重。
第三十一条要求的其实是两件事，实务中最容易漏掉第二件。取得父母或者其他监护人的同意是一件事，制定专门的个人信息处理规则是另一件事。不少产品的做法是把儿童条款塞进一份通用隐私政策里当子章节，注册时一次勾选覆盖全部。监护人同意和儿童专门规则被压成同一个动作，很难说满足了这一条。
一步之差，后面整套合规都得重来。
注册账号是家长的手机号，勾选同意的也是家长，看起来像是「监护人同意」了。这里有个容易绕进去的弯：同意的主体是监护人本人，不是戴表的孩子，厂商要证明的是它知道自己在处理谁的信息。设备绑的是儿童模式、实际使用人是未成年人，这些事实一摆出来，再主张自己只是取得了「用户」同意，说服力就不够。第十七条还要求以显著方式、清晰易懂的语言，把处理目的、方式、信息种类、保存期限和行使权利的程序说清楚，两千多字里夹一句「可能收集」，离这个标准有距离。
第二十九条的单独同意，讲的是形式。敏感个人信息不能混在一揽子里勾，得就这一项单独取得同意。实务中判断这一步很简单：把那个勾选项单独拎出来，看用户有没有可能在拒绝其余条款的情况下，仍然明白自己同意了位置轨迹的采集。
这一步常被跳过，后果很直接。
厂商最常搬出来的是第十三条第二项的合同必需。定位功能确实是儿童手表的核心卖点，没有位置信息这个功能就跑不起来，这一层抗辩站得住。
但范围是有边界的。通讯录、人脸、声纹、长达九十天的历史轨迹留存，跟「把定位做出来」不是一回事。判断口径可以很朴素：这一项信息不采集，这个功能还能不能照样用。能，就不属于必需。第六条那句「限于实现处理目的的最小范围」，说的就是这个意思。
未保法第七十二条给了家长一条很实在的路：要求更正、删除未成年人个人信息，信息处理者应当及时采取措施。这条的好处是不以造成实际损害为前提，也不需要先证明对方有过错。
还有一层容易忽略的：「删除」的实际含义。App 端看不见轨迹，不等于后台已经清掉。真正要主张的是连同服务器留存、备份、以及已经提供给第三方的数据一并处理，这一步往往要靠书面交涉才推动得动。
真要索赔，第六十九条把举证责任倒过来了：厂商得自己证明没有过错。赔偿数额按个人损失或者厂商获利计算，两者都算不清的，由法院根据实际情况酌定。
难点落在「损害」上。轨迹一直存在厂商服务器里、没有外泄、孩子也没受到实际骚扰，这种情况下法院可能只支持停止侵害、赔礼道歉，金钱赔偿的数额通常不高。对于「风险本身算不算损害」，各地裁判尺度并不统一，这一点不宜预期过高。
取证的时机比想象中重要。实务中比较稳的做法是，先在 App 内或者书面提交查阅、复制、删除请求，把提交时间和对方回复固定下来；回复含糊或者拖着不办的，这段来回本身就是材料。页面容易改动，做公证或者录屏存证，成本比事后补证低得多。深圳这边去公证处做一份页面保全，排队加出证往往要等上一两周，真到起诉前才想起就晚了。
除了起诉，向网信、工信、市场监管部门举报是另一条通道，本地还可以走 12345 和消委会投诉。行政投诉的周期通常短于诉讼，对只想让厂商停手、删数据的家长来说，未必不是更优先的选择。
买之前其实有一件小事可以先做：翻一下产品有没有单独的儿童个人信息处理规则。第三十一条明确要求制定专门规则，连这份规则都拿不出来的产品，后面的合规程度可想而知。
【相关案例】
假设有这么一回事。家长给八岁的孩子买了一块电话手表，用了半年后在配套 App 里发现，后台保存着孩子近九十天的行动轨迹，并且可以导出成表格。家长通过 App 客服提交删除请求，同时要求书面说明数据去向，对方回复「需联系购买门店处理」，此后一个月没有进展。
家长随后向消委会投诉，并向法院起诉，请求判令删除全部轨迹数据、书面告知处理目的与第三方共享情况，并赔偿精神损害一万元。
这类主张能否成立，取决于几件能落到纸面上的事：轨迹保存期限有没有在专门规则里写明、删除请求是否被无理由拖延、数据有没有实际对外提供、孩子有没有因此受到现实困扰。删数据的请求有未保法第七十二条直接支撑，相对扎实；一万元的精神损害赔偿则要看当地法院对「未外泄的敏感个人信息」如何评价，不宜照搬其他案件的结果。
（本示例为说明性虚构情形，非真实案件）
【律师提醒】
先做一件成本最低的事：把孩子现在在用的设备列一遍，手表、平板、音箱、作业类 App，逐个进设置页看权限，把跟功能无关的那几项关掉。
书面交涉要留痕。在 App 里点删除，不如同时发一封邮件或者寄一份书面函件，回执、截图、快递单号都留着，后续不管走投诉还是起诉都用得上。
诉讼不是唯一出口。只想让数据停下来的，行政投诉和消委会调解往往更快；要索赔的，先想清楚自己主张的是哪一项损失，空泛地提「精神损害」很难落地。
最后留一句不展开的话：孩子长大以后，会不会想知道自己十岁那年的每一天，都被谁记着。
【特别声明：本文仅供个人学习使用，不作为任何决策依据，任何人参考或采用本文或本文观点引发的任何后果由当事人自行承担！】
