个人信息保护法下的数据最小化

发布时间:2026-03-11 13:38

注册个会员，为什么非要填生日、住址、婚姻状况？在个人信息保护法的框架下，这个问题的答案越来越清晰：不必要就别收。数据最小化从道德建议变成了法律要求。 一、收集边界：只收必要的 法律的标准是"实现处理目的的最小范围"。落到操作层面，每个收集字段都要能回答一个问题：不收这个，业务能否完成？会员注册收手机号可以理解，收职业收入就很难自圆其说。表单设计的原则随之改变：默认字段只有完成业务必需的几个，其他全部改为选填或干脆删除。埋点统计也一样，能用聚合数据就不留个人明细。第三方 SDK 也在收集边界内，接入前看清楚它的隐私说明，申请的权限能少则少。 二、留存期限：收了就要有删除日 数据收进来没有保存期限，等于给未来埋雷。合规做法是给每类数据定留存期：订单数据按行业惯例和税务要求定，行为日志定几个月到一年，营销活动数据在活动结束后一段时期删除。期限到期后的删除要可验证——定时任务批量清理，并保留清理记录： 0 3 * * * /opt/scripts/purge_expired_users.sh >> /var/log/purge.log 2>&1 备份里的数据同样适用留存期，超过期限的备份按策略轮转覆写。 三、用户权利响应：查询更正删除要能兑现 用户提出查询、更正、删除个人信息的要求，企业必须在承诺时限内响应。这对系统设计提出实打实的要求：得知道某个用户的数据散落在哪些表、哪些系统里。数据地图在这一步显出价值——没有它，一条删除请求要发动几个团队人肉排查。响应流程要有工单记录，处理结果留存，这是检查时的常见项目。 数据最小化不是做减法那么简单，它倒逼企业想清楚每个字段的存在理由。收得少，泄露时的损失面就小，这笔账怎么算都划算。