企业官网建设流程全解析

授权与合规声明
本文全部操作对象均为自建隔离靶场（本机容器或隔离虚拟机），涉及安全测试的环节必须以取得合法授权为前提。未经授权的渗透测试违反《中华人民共和国网络安全法》与《刑法》相关条款，须承担相应法律责任。本文只讲环境配置、版本对照与靶场隔离，不含任何攻击步骤、利用载荷与绕过手法，请勿将文中环境指向任何非自有系统。

一、先看一份真实的后台字段清单

1.1 结课半年后，导出的第一行是列名

三月的课，十月才被想起。课程顾问要回访老学员，登录后台点导出，Excel 第一行不是数据，是十四列列名：学员编号、姓名、手机号、身份证号后六位、身份证复印件、工作单位、职务、报名渠道、缴费金额、开票信息、签到记录、答疑群截图、结课测评分数、备注。

念到「答疑群截图」时，做教务的同事停了一下，说想不起来这一列是干什么用的。

字段不是一次设计出来的：第一期要开票，加了开票信息；第二期要发证，加了身份证号后六位；第三期客服说答疑有用，开了上传附件的口子。没有一个理由在结课后被重新检查过。

1.2 三类字段：该留的、该删的、本来就不该收的

第六条第一款：「处理个人信息应当具有明确、合理的目的，并应当与处理目的直接相关，采取对个人权益影响最小的方式。」第二款：「收集个人信息，应当限于实现处理目的的最小范围，不得过度收集个人信息。」

第一类有独立依据、必须留：缴费与开票信息，背后是会计与税务规定，那套年限不在本法内，本文不写数字。留它的依据不是「本法允许」，而是「别的规定要求」。

第二类课程期间必需、结课后失去依据：姓名、手机号、签到记录。证书发完，用途消失，合法性基础跟着消失。身份证复印件最该单独说：核验只需要一个结论，不需要一份影像；按第六条可推出「核验后不留存」，但这是推论不是明文。第三类本来就不该收：报名渠道、职务、答疑群截图。

1.3 两套法律，别混着用

截至 2026-10-26，本文引用的《个人信息保护法》为 2021 年 8 月 20 日第十三届全国人民代表大会常务委员会第三十次会议通过、2021 年 11 月 1 日起施行的文本，全文 8 章 74 条。这一版是否另有修订，本轮未取到正面证据，需要核实；条号一律按这一版计。

《网络安全法》是另一套，现行文本 2025 年 10 月 28 日修正、2026 年 1 月 1 日施行。《决定》末段：「《中华人民共和国网络安全法》根据本决定作相应修改并对条文顺序作相应调整，重新公布。」这是旧条号换算的唯一官方依据，第五章要用。两者分工也写清了：处理个人信息违反规定的，走《个人信息保护法》等法律处理，所以落点全压在 PIPL 上。

二、什么叫「个人信息」：第 4 条划的圈

2.1 两个要件，缺一不可

第四条第一款：「个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。」

「与……自然人有关」把纯企业信息排除在外；「已识别或者可识别」把看着不像信息的东西拉进来——工号、设备号、一条签到时间戳，能和具体的人对上就在圈里。

「可识别」不要求你知道这个人叫什么。姓名加工单位加签到时间，能定位到唯一一个人，就已是可识别。单看每一列都不敏感、合起来能拼出一个人，是培训后台最常见的情形。

2.2 八个动作，「删除」也在内

第四条第二款：「个人信息的处理包括个人信息的收集、存储、使用、加工、传输、提供、公开、删除等。」

存储：日志里打一行「登录成功」，落库了就是存储，不需要额外论证。提供：名单导给销售、导给第三方短信通道、导给代运营都算「提供」。删除：删除本身也是处理，要按规程做、要能证明做过——删得不干净、还能从备份里捞出来，仍然是没删。

2.3 打码不等于出圈

圈划在「不包括匿名化处理后的信息」这半句上：只有匿名化才脱离本法，「138****1234」属于去标识化，还在圈内。两个定义都在第七十三条。

只要原始表还在、还能复原，就还在圈里。导出打码、库里留明文，改的是展示，不是处理的性质。

三、能处理的七种理由：第 13 条到底怎么读

3.1 七项，不是六项

第十三条第一款开头：「符合下列情形之一的，个人信息处理者方可处理个人信息：」，后面跟七项。被抄成「六项」的版本很多，逐条数一遍就知道是七项。

真正用得上的是（一）（二）（三），（六）偶尔沾边；其余三项都带前置条件，不能当日常依据。

3.2 第（二）项的限定语，对学员不成立

第（二）项是一个被「或者」连起来的复合项，不是两项：前半段管合同，后半段管人力资源管理。

后半段的限定语有四层——「按照依法制定的劳动规章制度」「依法签订的集体合同」「实施人力资源管理」「所必需」，叠起来指向本单位劳动者。外部学员不是本单位劳动者，这一路走不通。学员与机构之间是培训服务合同，能对上的只有前半段。

即便前半段，「所必需」也要逐字段对：姓名、联系方式、开票信息站得住，职务、报名渠道、答疑截图站不住。同一张表里，不同字段的合法性基础可以不一样。

3.3 第 2 款是出口，不是免票

第十三条第二款：「依照本法其他有关规定，处理个人信息应当取得个人同意，但是有前款第二项至第七项规定情形的，不需取得个人同意。」

它说的是「不需取得同意」，仅此而已。第九条要求处理者「对其个人信息处理活动负责，并采取必要措施保障所处理的个人信息的安全」；第六条的最小必要、第十七条的告知、第五十一条的六项措施都还在。第 2 款免掉的只有同意。

读成「有合同就不用管了」，是隐私政策里最常见的错：告知省了，期限也不写了。

四、必须告诉对方什么：第 17 条的四件事

4.1 四项，缺一项就是不完整

第十七条第一款：「个人信息处理者在处理个人信息前，应当以显著方式、清晰易懂的语言真实、准确、完整地向个人告知下列事项：（一）个人信息处理者的名称或者姓名和联系方式；（二）个人信息的处理目的、处理方式，处理的个人信息种类、保存期限；（三）个人行使本法规定权利的方式和程序；（四）法律、行政法规规定应当告知的其他事项。」

前两个要件是「怎么说」，四项是「说什么」。第（一）项的常见缺口是报名页只留一个客服微信，没有主体名称。第（二）项一句塞四件事，只写「用于课程服务」不算。第（三）项最常被整段省略，它需要真的有一条流程。

4.2 保存期限与变更

第（二）项里的「保存期限」是最含糊的一格。写「长期」的机构不少，但第四十七条第（一）项要求目的实现即删，两者直接冲突。可行写法是按类别给期限：课程期间、结课后若干个月、到期怎么处理。

第十七条第二款：「前款规定事项发生变更的，应当将变更部分告知个人。」第三款：「个人信息处理者通过制定个人信息处理规则的方式告知第一款规定事项的，处理规则应当公开，并且便于查阅和保存。」

加列、换用途、延长期限都要再告知一次。后台加一列几分钟，补一次告知的成本高得多。

4.3 敏感信息这一类，别扣错帽子

第二十八条第一款：「敏感个人信息是一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。」

要纠正一个流传很广的说法：手机号不在这一款的列举清单里。它是个人信息，但不是这一款列举的敏感个人信息。帽子扣错了，后面「单独同意」那一整套要求就跟着错。

身份证复印件要个案判断：若与培训记录、联系方式组合后足以指向「特定身份」，可能落入这一款的「等信息」，此时第二十九条要求「处理敏感个人信息应当取得个人的单独同意」。这是判断不是引用。

五、留多久、什么时候必须删

5.1 删除是义务，不是选项

第四十七条第一款：「有下列情形之一的，个人信息处理者应当主动删除个人信息；个人信息处理者未删除的，个人有权请求删除：（一）处理目的已实现、无法实现或者为实现处理目的不再必要；（二）个人信息处理者停止提供产品或者服务，或者保存期限已届满；（三）个人撤回同意；（四）个人信息处理者违反法律、行政法规或者违反约定处理个人信息；（五）法律、行政法规规定的其他情形。」

「应当主动删除」——删除是主动义务，不需要等学员来提。第（一）项最常见：课结完、证发完、回访做完，目的实现，删除义务同时成立。

第二款：「法律、行政法规规定的保存期限未届满，或者删除个人信息从技术上难以实现的，个人信息处理者应当停止除存储和采取必要的安全保护措施之外的处理。」这一款是降级不是豁免：查不了、导不出、不能再营销，才叫「只存不用」。

5.2 日志那条：从二十一条到二十三条

技术负责人最熟的一句是「日志留存不少于六个月」。它原来在《网络安全法》第二十一条，2026 年 1 月 1 日起在第二十三条第（三）项。

条号为什么变，官方说法就在《决定》那句「对条文顺序作相应调整」里：这次修正新增两条（第三条、第二十条），罚则区又有增删，第二十条以后整体顺延。写「第二十三条」不是笔误，是换算的结果；写旧条号时必须注明「2025 年修正前」。

修正后文本（2026-01-01 起施行）第二十三条：「国家实行网络安全等级保护制度。……（三）采取监测、记录网络运行状态、网络安全事件的技术措施，并按照规定留存相关的网络日志不少于六个月；……」

两个细节别读丢：一是「不少于六个月」是下限，不是标准值；二是「按照规定留存」，留什么、怎么留交给了配套规定。所以「多存一天就违法」和「存满六个月就可以全删」都不成立。

5.3 两套期限并存，别用一套盖另一套

第四行方向相反。第五十六条第二款：「个人信息保护影响评估报告和处理情况记录应当至少保存三年。」前面讲怎么删，这一行讲不能删。

合规动作对照清单：这份清单把「告知、同意、删除、留痕」四件事拆成可勾选条目，每条后面标了条文号，与本章的四十七条规定一一对应。放在资料包里，扫码即可获取：

六、谁能看、怎么存：第 51 条六项措施

6.1 六项措施，对着后台数缺口

第五十一条开头：「个人信息处理者应当根据个人信息的处理目的、处理方式、个人信息的种类以及对个人权益的影响、可能存在的安全风险等，采取下列措施确保个人信息处理活动符合法律、行政法规的规定，并防止未经授权的访问以及个人信息泄露、篡改、丢失：」

6.2 打码是去标识化，不是匿名化

第七十三条：「（三）去标识化，是指个人信息经过处理，使其在不借助额外信息的情况下无法识别特定自然人的过程。」「（四）匿名化，是指个人信息经过处理无法识别特定自然人且不能复原的过程。」

两个定义只差最后几个字：「不能复原」。去标识化的前提是「不借助额外信息」——额外信息还在，只是被隔开。手机号换成138****1234，配上学员编号回原表一查就对上了，仍是个人信息，仍受本法约束。

匿名化要两个条件同时满足，还要能说明为什么不能复原。整列删掉手机号、其余列保留通常不算，剩余字段组合往往仍能指向某个人——判断时先问：删掉这一列，剩下的列加上机构手上其他数据，还能不能指向某一个人。

6.3 三件今天能做的，一件容易漏的

今天能做的三件：导出权限收到岗位并留痕；身份证复印件从「长期附件」改成「核验后即删」；制度从口头落成文本并发布。三件都对应第五十一条的具体项。

容易漏的是第五十五条：「有下列情形之一的，个人信息处理者应当事前进行个人信息保护影响评估，并对处理情况进行记录：……（三）委托处理个人信息、向其他个人信息处理者提供个人信息、公开个人信息；（四）向境外提供个人信息；」培训机构最常踩第（三）项：名单交给第三方短信通道发通知，就是委托处理；用境外工具做报名表单，可能落入第（四）项。

七、越界与踩线的分界

7.1 六个动作，逐个对条文

「越界」不是道德评价，是「找不到条文支撑」。第二行的问题不在「给了销售」，在于目的变了：原目的是履行培训合同，二次营销是另一个目的，需要另一个合法性基础。第三行的问题不在「打了日志」，在于明文撒得到处都是，第五十一条第（三）项要求的技术措施是缺的。第六行标「边界」，因为这条对员工和学员的效果不同。

7.2 罚款两档，语序别读反

第六十六条第一款：「违反本法规定处理个人信息，或者处理个人信息未履行本法规定的个人信息保护义务的，由履行个人信息保护职责的部门责令改正，给予警告，没收违法所得，对违法处理个人信息的应用程序，责令暂停或者终止提供服务；拒不改正的，并处一百万元以下罚款；对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款。」

第二款：「有前款规定的违法行为，情节严重的，由省级以上履行个人信息保护职责的部门责令改正，没收违法所得，并处五千万元以下或者上一年度营业额百分之五以下罚款，并可以责令暂停相关业务或者停业整顿、通报有关主管部门吊销相关业务许可或者吊销营业执照；对直接负责的主管人员和其他直接责任人员处十万元以上一百万元以下罚款，并可以决定禁止其在一定期限内担任相关企业的董事、监事、高级管理人员和个人信息保护负责人。」

两档，就两档。一般情形：责令改正、警告、没收违法所得，拒不改正的并处一百万元以下，直接责任人一万元以上十万元以下。情节严重：五千万元以下或者上一年度营业额百分之五以下，直接责任人十万元以上一百万元以下，可叠加禁业，管辖部门也提到「省级以上」。

最容易读错的是「以下」：是「五千万元以下」，不是「以上」；两个上限之间是「或者」，不是叠加。读反了，一线会以为「没到五千万就没事」。

7.3 十一条文，一句话一条

第七十二条被误用最多，要单独说一句。第一款：「自然人因个人或者家庭事务处理个人信息的，不适用本法。」机构处理学员信息是经营行为，不是「个人或者家庭事务」，这条不能用来给机构开脱。

条文速查与字段处置表：这份资料把本文十一条文按「定义—义务—责任」三层重排，并附一张按字段填的处置模板，可直接对着自己的后台改。放在资料包里，扫码即可获取：

附表 A：本文引用事实与官方出处对照表

附表 B：术语速查表

写在最后：这篇用到的资料

写这篇文章时，我把一个培训班后台的字段清单逐列拆了一遍，再一列一列去对条文，顺手也整理了几份配套的东西：

• 个人信息处理动作对照表：把告知、同意、删除、留痕四件事拆成可勾选条目，每条后面标条文号
• Web 安全学习路线图：从基础打牢到安全管理，四个阶段各学什么
• 常用靶场清单：每个靶场练什么、适合哪个阶段

资料是我自己整理的，放在下面这个码上，扫码即可获取：

添加时备注「靶场」，优先通过。

拿到之后建议先看动作对照表那一份，把自己后台的字段先对一遍，再回来读第五、六章的删除与措施，会顺很多。