运单上的信息是必要信息，但不是"想用就用的"
收货人的姓名、电话、地址是运单必填项——没有它们，货到不了、货主联系不上、异常件无从处理。但从填完运单的那一刻起，这些信息就同时具备了两个身份：完成本次运输所必需的履约信息，以及《个人信息保护法》定义的个人信息。法律对第二重身份有明确的处理规则。
《个人信息保护法》第十七条要求处理者在处理前以显著方式、清晰易懂的语言告知个人处理者名称和处理目的、处理方式、信息种类、保存期限，以及个人行使权利的方式和程序。第十九条规定，除法律行政法规另有规定外，保存期限应当为实现处理目的所必要的最短时间。第二十一条则专门规定了委托处理——这恰恰是物流业务最常见的形态。
委托处理：物流企业多数时候不是"处理者"，而是"受托方"
《个人信息保护法》第七十三条把"个人信息处理者"定义为在处理活动中自主决定处理目的、处理方式的组织或个人。按这个定义，在绝大多数货运场景中，货主（发货方）才是处理者，物流企业是受托方。
这个定性带来很实际的影响。第二十一条规定：个人信息处理者委托处理个人信息的，应当与受托人约定委托处理的目的、期限、处理方式、个人信息的种类、保护措施以及双方的权利和义务等，并对受托人的个人信息处理活动进行监督。受托人应当按照约定处理个人信息，不得超出约定的处理目的、处理方式等处理个人信息；未经个人信息处理者同意，受托人不得转委托他人处理个人信息；委托合同不生效、无效、被撤销或者终止的，受托人应当将个人信息返还给处理者或者予以删除，不得保留。
- 约定的"目的"通常就是运输本身：为完成该票货的取货、运输、交付以及异常处理而使用信息。
- 约定的"期限"通常与运输周期和账期对齐：货已交付、账已结清之后，相关信息没有继续留存的必要。
- "不得转委托"是硬约束：把信息交给第三方，需要货主同意。
这三条里，被忽略得最多的是第三条。把货转给实际承运的司机、装卸队、第三方分拨时，很多企业没有意识到这已经构成转委托。
什么时候需要"单独同意"，什么时候不需要
这是实务中最常被问错的一条。《个人信息保护法》第二十三条要求：个人信息处理者向其他个人信息处理者提供其处理的个人信息的，应当向个人告知接收方的名称或者姓名和联系方式、处理目的、处理方式和个人信息的种类，并取得个人的单独同意。
关键在于双方都是处理者。既然物流企业在委托关系中是受托方、只能按货主的指示在授权范围内处理，那么品牌方把消费者订单信息交给物流公司这一行为，不属于第二十三条所指的"向其他处理者提供"，一般不需要就这一动作单独取得同意；品牌方通常的做法是在隐私政策或用户协议中披露委托第三方物流公司运输。
但这条不构成"随便用"的许可。受托方有几个不能越过的动作：把信息用于配送以外的其他目的；超出货主指示额外处理；把信息再交给第三方而没有货主同意。任何一个都超出了委托范围。
最小必要：运单上哪些信息是必需的，哪些不是
快递和寄递行业已经形成了明确的行业规范，《寄递服务用户个人信息安全管理规定》第七条明确要求：寄递企业收集用户个人信息应仅限于完成寄递服务全流程操作目的的最小范围，不得过度收集。该规定把寄递服务用户个人信息界定为包括《民法典》第一千零三十四条所列的姓名、身份证件号码、生物识别信息、住址、电话号码等信息，以及运单号、时间、物品明细等信息。
物流运输在很多环节与寄递服务是同构的，把这套要求作为自我约束标准是稳妥的：
- 该收的：收货人姓名、联系电话、交付地址、运单号、收发时间、件数重量——这些是完成交付所必需的。
- 不该顺手收的：收货人身份证号、与运输无关的家庭成员信息、通讯录、精确到门牌的活动轨迹描述。
- 只在法定或业务必需时才收的：身份证件信息（涉及特定货物、开箱验视或安全检查要求时）、报关所需的收货人身份信息。
判断标准很简单：去掉这个字段，运输还成立吗？成立就不该收。
承运企业要做的事：不是一句保密协议就完
《寄递服务用户个人信息安全管理规定》对承运企业提出了一整套义务，其中几条对公路货运企业同样有参考价值：
- 建立安全管理制度并明确岗位责任：谁可以调取收货人信息、谁审批、留痕在哪里，要有制度，也要有人执行。
- 与从业人员签订保密协议：司机、调度、装卸人员接触这些信息是工作必需的，但接触权限应当与职责匹配，并落到书面的保密义务上。
- 对委托处理要事前评估并监督受托方：委托第三方开展代收代投、清关等业务时，事前进行个人信息保护影响评估，约定处理目的、期限、方式、信息种类、保护措施及双方权利义务，并对受托人的处理活动进行监督。
- 对运单信息做去标识化处理：采取射频识别、虚拟安全号码、电子纸等有效技术手段，防止运单信息在寄递过程中泄露。
货主这一侧：发一票货之前先约定三件事
对发货方来说，把边界前置到合同里，比事后追责有效得多。
第一，信息提供范围与用途。 明确承运人可以使用哪些信息、用于什么目的（提货、运输、交付、异常通知、签收回传）、以及哪些信息不在授权范围内。货主自己的客户信息与自己的商誉是绑定的，一票货的收货人信息外泄，损失的不只是一个人的隐私。
第二，保存期限与删除机制。 合同里写清：运单信息保存到什么时候（通常覆盖运输完成加账期结算加合理的争议处理期），期满由承运人删除或返还，并可以要求承运人出具删除确认。这条是很多货主会漏掉的，而它恰恰是最容易在合规检查中被问到的一项。
第三，转委托与安全事件的处理。 承运人把运输再分包给第三方时，是否需要事先告知、是否需要货主书面同意；发生信息泄露时承运人多久内通知、怎么通知、由谁对受影响个人作出说明。
几个日常场景里的具体做法
群里发到货通知。 在微信群、调度大群里直接发"某某公司 某某货物 张三 138xxxx 到货请提"——这类做法在运单信息保护上是最典型的越界：信息被扩散到与运输无关的范围内。稳妥的做法是只发送必要的通知要素，通过与收货人约定的渠道一对一通知。
临时把货转给别的车。 车辆变更时把收货人电话和地址整条转发给新司机，属于转委托。做法上应当通过统一的调度系统派发、让司机在受控渠道内看到必要信息，而不是通过个人社交软件整单转发。
签收回单拍照发群里。 回单上往往有收货人签字和联系方式，拍照在群里流转同样扩大了信息范围。
纸质回单和面单。 装车后遗留在现场的纸质面单是另一个常见敞口，纸质件上收货人信息齐全，丢弃、留存、运输途中散落都要有明确处理要求。