《个人信息保护合规实战手册》
第4章 个人信息处理规则
4. 个人信息处理规则：告知同意规则、最小必要原则、目的限制原则的实务应用
4.1 告知同意规则：从“知情”到“同意”的合规闭环
告知同意是个人信息处理的合法性基石。实务中，企业常陷入“告知即合规”的误区，实则有效告知与真实同意缺一不可。本节点明告知同意的实务操作要点与常见合规陷阱。
4.1.1 告知的“八项必填项”与“三项禁止”
| 类别 | 具体内容 | 实务要点 |
|---|---|---|
| 八项 必填项 |
1. 处理者的名称和联系方式 | 必须为具体经办部门/DPO，而非仅公司总机 |
| 2. 处理目的 | 不得使用“改善用户体验”等模糊表述 | |
| 3. 处理方式 | 自动化决策、用户画像等需特别说明 | |
| 4. 个人信息种类 | 区分“必要”与“非必要”信息 | |
| 5. 保存期限 | 明确具体期限或确定方法 | |
| 6. 行使权利的方式和程序 | 提供便捷的撤回同意路径 | |
| 7. 对外提供/委托处理情况 | 列明接收方类型及目的 | |
| 8. 跨境传输规则 | 安全评估/认证/标准合同 | |
| 三项 禁止 |
❌ 以默认勾选、捆绑授权等方式强迫同意 | 需单独弹窗/勾选框，不得与注册流程捆绑 |
| ❌ 频繁弹窗干扰用户决策 | 拒绝后24小时内不得再次请求 | |
| ❌ 使用晦涩难懂的法律术语 | 建议使用“小学六年级”阅读水平 |
4.1.2 实务中的“同意”类型与适用场景
- 单独同意：处理敏感个人信息、向第三方提供、公开信息、跨境传输、处理不满14周岁未成年人信息等场景，必须单独弹窗获取同意。
- 书面同意：涉及重大利益调整（如征信查询、保险核保）时，建议留存书面/电子签名记录。
- 默示同意（有限适用）：仅适用于与用户有直接联系的、合理期待范围内的必要处理，且必须提供退出机制。
- 撤回同意：需设置独立入口，不得设置“同意才能撤回”的障碍，撤回后应删除个人信息（法律另有规定除外）。
合规提示：2024年执法案例显示，“一揽子同意”是处罚重灾区。建议将“基本功能所需信息”与“扩展功能信息”分屏展示，分别获取同意。
4.2 最小必要原则：不收集“多余”的个人信息
最小必要原则要求：只收集与处理目的直接相关、且为实现目的所必需的最少信息。实务中，企业常因“以防万一”的心态过度收集，导致合规风险。
4.2.1 最小必要的“四步审查法”
- 第一步：目的关联性审查 —— 该信息是否与处理目的有直接关联？
- 第二步：必要性论证 —— 不收集该信息，是否会导致目的无法实现？
- 第三步：最小范围确认 —— 是否已选择对用户权益影响最小的信息类型？
- 第四步：动态调整机制 —— 目的变更时，是否重新评估信息收集范围？
4.2.2 常见违规场景与整改建议
| 违规场景 | 典型表现 | 整改建议 |
|---|---|---|
| 📱 权限过度索取 | 计算器App要求读取通讯录 | 按功能模块逐项申请权限，拒绝后不反复弹窗 |
| 📝 信息收集冗余 | 注册即要求填写身份证号、家庭住址 | 仅收集注册所需手机号/邮箱，其他信息按需分步收集 |
| 🔄 超期保存 | 用户注销账号后仍保留个人信息3年 | 建立数据生命周期管理制度，到期自动删除/匿名化 |
| 🔗 第三方SDK过度采集 | 支付SDK同时采集设备MAC、IMSI、应用列表 | 签订数据处理协议，明确SDK采集范围，定期审计 |
4.3 目的限制原则：处理目的“不跑偏”
目的限制原则要求：收集个人信息时应当具有明确、合理的目的，并不得超出该目的范围处理个人信息。实务中，企业常因“数据复用”需求而突破原定目的，构成违规。
4.3.1 目的变更的“三重评估”机制
4.3.2 目的限制的“正面清单”与“负面清单”
| 清单类型 | 允许/禁止的行为 | 实务示例 |
|---|---|---|
| ✅ 正面清单 | 为履行合同所必需 | 电商平台使用收货地址完成配送 |
| ✅ 正面清单 | 为保障人身财产安全所必需 | 金融App在异常登录时收集设备信息进行风控 |
| ✅ 正面清单 | 为履行法定义务所必需 | 根据《反洗钱法》收集客户身份信息 |
| ❌ 负面清单 | 将收集的医疗健康数据用于商业推广 | 药店App将购药记录推送保健品广告 |
| ❌ 负面清单 | 将位置信息用于非服务目的的数据交易 | 地图App将用户轨迹数据出售给第三方 |
| ❌ 负面清单 | 超出合理期限保存个人信息 | 用户注销账号后仍保留聊天记录用于“数据分析” |
4.4 三大原则的协同应用：合规审查清单
4.4.1 实务合规审查清单（自查用）
| 序号 | 审查维度 | 审查要点 | 合规状态 |
|---|---|---|---|
| 1 | 告知完整性 | 是否涵盖“八项必填项”？是否使用通俗语言？ | ✅ / ❌ |
| 2 | 同意有效性 | 是否单独弹窗？是否提供撤回路径？ | ✅ / ❌ |
| 3 | 信息最小化 | 收集的信息是否均为实现目的所必需？ | ✅ / ❌ |
| 4 | 目的明确性 | 处理目的是否在收集前明确告知？ | ✅ / ❌ |
| 5 | 目的变更控制 | 变更目的时是否重新获取同意？ | ✅ / ❌ |
| 6 | 保存期限 | 是否设定了明确的保存期限？到期是否删除？ | ✅ / ❌ |
| 7 | 第三方管理 | SDK/API是否签署数据协议？是否超范围采集？ | ✅ / ❌ |
| 8 | 权利保障 | 用户查询、更正、删除、撤回同意的渠道是否畅通？ | ✅ / ❌ |
实务建议：建议企业建立“个人信息处理合规台账”，对每一项个人信息处理活动记录：处理目的、信息类型、法律依据、同意方式、保存期限、第三方共享情况等，以备监管检查。