微信公众号场景下，运营者常通过网页授权、小程序接口或第三方统计工具获取用户的地理位置。这类数据一旦达到可识别个人的精度，便进入GDPR定义的特殊类别个人数据范畴，同时受CCPA中“精准地理位置”条款约束。许多团队在起草隐私政策时，仅以“我们可能收集您的设备信息”笼统带过，既没有说明坐标的获取方式，也未区分粗略位置与精确位置的法律差异，导致条款在监管审查中无效。本篇将拆解法规要点，并结合微信生态给出可直接套用的撰写方法。
GDPR与CCPA对地理位置的核心要求差异
GDPR在第9条明确将“精确地理位置数据”视为可能揭示个人生活习惯的特殊类别数据，处理此类信息必须取得用户的“明确同意”（explicit consent），且同意动作不能预勾选或捆绑在服务条款中。微信公众号若面向欧洲用户，在用户首次进入页面时，应当通过独立弹窗说明将调用微信的获取位置接口，并让用户主动点击确认。相比之下，CCPA并不将地理位置列为敏感个人信息之外的特殊类别，但它在“收集告知”环节要求企业于或等于收集行为发生时，清楚列出位置信息的业务目的，例如“用于附近门店推荐”或“用于物流时效估算”。
另一个常被忽略的差异是用户权利的响应周期。GDPR规定用户提出删除或访问请求后，控制者原则上需在一个月内响应；CCPA则给予企业四十五天并可视情况延长。在微信公众号后台，运营者如果无法从服务器日志中剥离出某用户的经纬度记录，便难以履行删除义务。因此隐私政策中不仅要写“我们尊重您的删除权”，还必须配套说明技术实现路径，比如“我们将在收到请求后从业务数据库及备份冷库中清除对应openid关联的坐标字段”。
在同意撤回机制上，两部法律都要求用户能像同意时一样方便地撤回。很多公众号把撤回入口藏在三级菜单里，这违反GDPR的“同等便捷”原则。建议在隐私政策正文直接给出微信内撤回授权的操作步骤，例如引导用户至“我-设置-隐私-授权管理”取消公众号的位置权限，同时声明服务端也会同步停止记录。
微信生态中地理位置的实际采集路径与告知写法
在微信公众平台，网页授权获取位置通常依赖用户主动触发wx.getLocation接口，而小程序则在app.json中声明permission字段。隐私政策必须写明触发场景：是每次打开文章自动调用，还是用户点击“查看附近活动”按钮时才调用。若是自动调用，GDPR下几乎不可能满足明确同意要求，应改为按需触发。以下代码展示了小程序端合规的按需调用示例：
// 用户点击按钮后才申请位置
Page({
onTapNearby: function () {
wx.getLocation({
type: 'gcj02',
success: function (res) {
// 仅上传粗略城市级坐标，避免精确经纬度出域
var city = res.latitude.toFixed(2) + ',' + res.longitude.toFixed(2);
wx.request({
url: 'https://ipipp.com/api/nearby',
data: { loc: city }
});
},
fail: function () {
// 用户拒绝时不记录任何位置
}
});
}
});
对于公众号H5页面，常通过微信JS-SDK的getLocation拿取坐标。隐私政策应明确写出“当您使用门店导航功能时，页面会请求微信定位权限，我们仅缓存本次会话的城市编码”。这种写法比“我们收集位置以提供更好服务”更具合规说服力，因为它限定了时间范围和精度。同时，政策中要避免使用<iframe>嵌套不明来源地图导致间接传输，若用了第三方地图，需在条款列出接收方名称。
不少运营者误以为模糊化处理就不算地理位置。实际上CCPA把精确到路口级的坐标也纳入，所以政策中若写“我们仅获取您所在城市”，就必须确保后端真的丢弃了经纬度，只留城市名字段。建议附上数据处理流程图或文字说明：原始坐标在网关层即转换为城市ID，不落盘存储，这样在监管问询时可自证。
隐私政策条款的结构化撰写与用户权利响应
一份合格的微信公众号位置隐私条款，至少应包含四个小节：收集项列举、目的与法律依据、保留期限、用户权利行使方式。收集项列举中直接写“精确地理位置（经纬度），通过微信定位接口在您点击导航时获取”；目的写“用于计算离您最近的线下服务点，不进行用户画像”；法律依据对欧区用户标注GDPR第6条1款a项同意，对加州用户标注CCPA 1798.100披露要求。这样的结构让审查方一眼看清合规逻辑。
保留期限常被写成“在您使用期间保留”，这属于无效表述。应给出具体规则，例如“位置缓存保留二十四小时后清除，关联订单的配送坐标保留至订单完成后九十天，之后匿名化”。在用户权利部分，除了邮箱接收请求，还可提供微信内留言模板，降低行使成本。下面给出一个隐私政策片段示例：
<p>地理位置收集说明：本公众号在您使用“附近门店”功能时，经您点击确认后通过微信接口获取GPS坐标，精度约五十米。该数据仅用于展示距离，不分享给广告商。您可在微信授权管理中撤回，撤回后我们将停止调用并在二十四小时内删除服务端记录。</p>
最后要建立内部响应台账。当用户通过公众号消息要求删除位置数据，客服需生成工单，技术端执行数据库删除并截图留证，整个周期不超过GDPR的一个月上限。隐私政策中可附上“我们自收到请求起二十个工作日内完成验证与删除”的承诺，既显诚意又留缓冲。只有把纸面条款和后台动作对齐，微信公众号的地理位置处理才真正跨过合规线。