2、核心原则：合法、正当、必要原则，目的限制原则，数据最小化原则，存储限制原则

好，咱们直接进入正题。数据隐私合规的四大核心原则，说白了就是四把尺子。你拿这四把尺子去量任何一个数据处理活动，基本都能看出它合不合规。我做了这么多年合规，见过太多翻车案例，追根溯源，基本都是在这四个原则上栽了跟头。

2.1 合法、正当、必要原则

这是最基础的一条，也是总纲。我习惯把它叫做「合规三件套」，缺一不可。

• 合法：你得有法律依据。不能想收集就收集。比如《个人信息保护法》第十三条列了七种合法处理情形，你得对号入座。
• 正当：手段要光明正大。不能偷偷摸摸收集，也不能欺骗用户。我见过有些App在用户协议里用小字写「我们可能会收集您的通讯录」，这就不正当。
• 必要：跟后面的数据最小化原则紧密相关。不收集跟业务无关的数据。

我在项目中遇到过一家做天气App的公司。他们想收集用户的位置信息，这合法吗？合法，因为天气服务确实需要位置。正当吗？正当，只要明确告知用户。但必要吗？嗯，这里要注意——如果你只是展示天气，那获取城市级别的定位就够了，没必要精确到街道。否则就不「必要」了。

2.2 目的限制原则

这条原则讲的是：你当初为什么收集数据，就只能为什么用数据。不能今天说为了做地图导航收集位置，明天拿去给用户推广告。

为什么会这样？你想想看，用户是基于某个特定目的才同意你收集数据的。如果你擅自改变用途，那当初的同意就失效了。

我曾经帮一家电商平台做合规审计。他们收集用户的浏览记录，说是为了「改善推荐算法」。结果后来拿去分析用户的消费能力，给不同用户显示不同价格。这就是典型的目的变更，而且变更后没有重新获取用户同意。嗯，最后被罚得不轻。

目的限制原则还有个延伸含义：目的实现后，数据就该处理掉了。这就引出了下一条原则。

2.3 数据最小化原则

这条原则的核心就一句话：够用就好，不多拿。

我见过太多公司犯这个错。注册一个论坛账号，非要你填真实姓名、身份证号、家庭住址。这合理吗？不合理。一个论坛，有个用户名和邮箱就能注册了，要身份证干嘛？

业务场景	必要数据	非必要数据（常见踩坑）
用户注册	用户名、密码、邮箱/手机号	真实姓名、身份证号、家庭住址
地图导航	实时位置（城市级或街道级）	精确到门牌号、常去地点记录
在线购物	收货地址、联系电话	生日、职业、收入水平
内容阅读	浏览偏好（匿名化）	设备唯一标识、通讯录

数据最小化原则还有个容易被忽略的点：收集频率也要最小化。不是说你只收集位置就够了，你还得考虑多久收集一次。导航App每10秒获取一次位置可以理解，但一个天气App每5分钟获取一次位置，这就过分了。

2.4 存储限制原则

这条原则跟目的限制原则是孪生兄弟。它说的是：数据存多久，取决于你还需要用多久。目的实现了，数据就该删了。

我习惯用一个简单的判断方法：问自己三个问题——

1. 这个数据现在还用得上吗？
2. 如果不用了，留着它有什么风险？
3. 法律有没有规定必须存多久？

举个例子。用户注销账号后，你还需要保留他的个人资料吗？不需要。但你可能需要保留交易记录，因为《电子商务法》要求交易记录保存不少于三年。这就是法律规定的例外情况。

我在项目中遇到过一家做在线教育的公司。他们把所有用户数据都存着，包括已经毕业三年的学生。我问他们为什么？答：「万一学生回来查成绩呢？」我说：「那你可以只保留成绩数据，把联系方式、家庭住址这些删掉啊。」他们恍然大悟。

嗯，这里要注意：存储限制原则不是说「到期必须删」，而是「到期必须处理」。处理方式包括删除，也包括匿名化。匿名化后的数据不再属于个人信息，可以继续保留用于统计分析。

小结一下

这四个原则其实是一套逻辑链条：

• 你得有合法正当必要的理由才能收集数据
• 收集后只能用于当初说的那个目的
• 收集的量要最小化，够用就行
• 用完了就别存着，该删就删

你想想看，如果每个数据处理活动都按这个链条走一遍，合规风险能降低一大半。我这些年做合规审计，80%的问题都能用这四把尺子量出来。所以，把这四个原则刻在脑子里，比背一百条法条都管用。