企业处理个人信息必须遵循《个人信息保护法》规定的合法、正当、必要、诚信原则及“告知-同意”核心规则。具体要求：1. 收集前需以显著方式、清晰易懂的语言向个人告知处理目的、方式、种类、保存期限及个人权利行使方式（第十三条、第十四条）；2. 取得个人单独同意（处理敏感个人信息、向他人提供、公开、跨境传输等情形需取得单独同意）；3. 不得过度收集，遵循最小必要原则；4. 建立内部管理制度和操作规程，采取加密、去标识化等安全技术措施（第五十一条）；5. 个人信息保存期限应为实现处理目的所必要的最短时间。法律依据：《个人信息保护法》第五条至第十四条。实务建议：制定隐私政策，设置便捷的同意撤回机制，定期进行合规审计，对员工进行培训，涉及跨境传输需通过安全评估、认证或订立标准合同。