一句话回答：数据标注这个行业本身合法，企业也完全可以做；但如果标注的对象是个人信息，尤其是人脸、指纹、行踪轨迹这类敏感个人信息，就必须符合《个人信息保护法》的要求——该取得同意的要取得同意，该签委托协议的要签协议，该做影响评估的要评估，否则从一百万元以下罚款到五千万元或者上一年度营业额百分之五以下的罚款都可能落在头上。

一、数据标注到底在标什么

简单说，数据标注就是给原始数据“打标签”，让人工智能能读懂。比如把一张图片里的车辆框出来、把一段语音转成文字、给一批文本标上情感倾向。它本身是AI产业链里很正当的一环，法律并不禁止。真正让企业踩雷的，是标注的“原材料”里有没有别人的个人信息。

二、法律依据（条文号已核实）

《中华人民共和国个人信息保护法》第十三条列举了处理个人信息的合法情形，取得个人同意是其中一项；第十七条要求处理前以显著方式、清晰易懂的语言真实准确完整地告知处理目的、方式、种类和保存期限。第二十八条把生物识别、医疗健康、金融账户、行踪轨迹以及不满十四周岁未成年人的信息列为敏感个人信息，第二十九条规定处理敏感个人信息应当取得个人的单独同意。

如果标注业务外包给第三方标注公司做，还要注意第五十五条：委托处理个人信息、向其他个人信息处理者提供个人信息，属于应当事前进行个人信息保护影响评估的情形，并且要依第五十六条对处理情况进行记录、评估报告至少保存三年。

三、实务中要注意什么

第一，来源要干净。拿别人的数据来标注，先问一句“这批数据是怎么来的”——如果是从网上爬来的、从别人手里买来的、或者来源不明的个人信息，标注只是把风险往后传，问题迟早会爆。第二，协议要写清。委托标注公司处理数据属于委托处理关系，要把处理目的、期限、方式、保护措施、双方权责写进合同，并约定不得超范围使用。第三，特殊类型要加码。涉及人脸、指纹、医疗、行踪轨迹这些敏感信息，或者涉及未成年人的，要做单独同意和影响评估，不能只签一份通用同意书了事。

四、案例分析（示意情景）

用一个示意情景说明风险链条：某AI公司为训练模型，把一批包含用户人脸的照片外包给标注团队打标签，既没有取得照片本人的单独同意，也没有和标注公司签订数据处理协议、没有做事前影响评估。一旦被举报或检查，公司作为个人信息处理者要负首端责任，可能面临责令改正、警告、没收违法所得；拒不改正的并处一百万元以下罚款，情节严重的按第六十六条可以处五千万元以下或者上一年度营业额百分之五以下罚款，直接负责的主管人员和其他直接责任人员也要被罚款。合规的做法是：来源可追溯、同意可举证、协议可核查、评估有记录。

五、常见问题（FAQ）

问：数据标注公司做标注业务违法吗？

答：不违法。数据标注本身是合法的AI产业环节，问题出在标注的数据是否合法取得、是否履行了个人信息保护义务。

问：标注外包给第三方，责任由谁承担？

答：委托处理关系中，委托方（个人信息处理者）要负首端责任，受托的标注公司也要按约定和法律规定履行保护义务，双方均应留痕可核查。

问：标注人脸、语音这些数据要特别注意什么？

答：人脸属于生物识别信息，是敏感个人信息，处理应当取得单独同意，并事前进行个人信息保护影响评估。

问：标注不满十四岁孩子的数据合法吗？

答：需取得其父母或者其他监护人的同意，并制定专门的个人信息处理规则。

问：违反个人信息保护法最高罚多少？

答：情节严重的，可处五千万元以下或者上一年度营业额百分之五以下罚款，并可责令暂停业务、停业整顿甚至吊销营业执照。

王冠律师｜北京浩略律师事务所联合创始人｜咨询电话：17813108512