情景背景

某金融资讯类 App 在用户注册后即可浏览公开资讯，但注册流程的第一步就要求完成人脸核身并上传身份证影像。运营方称这是为后续开通交易功能做统一准备。用户乙只想阅读资讯，对在注册阶段就要完成核身表示不解，注册流程约需五分钟。

争议与处理思路

本条（《个人信息保护法》第二十八条）要求处理敏感个人信息具有特定的目的和充分的必要性。实务中通常认为，必要性应当与当前正在提供的功能相对应，为将来可能开通的功能提前采集，可能难以说明当下的充分必要性。本情景中资讯浏览与身份核验之间缺少直接关联，把核身前置到注册环节，可能被认定为超出必要限度；若确有需要，宜在用户实际使用相关功能时再行采集，并履行单独同意与更严格告知。

平台提示

按功能分期设计采集流程：浏览类功能不设身份核验，交易、提现等高风险功能在用户实际触发时再采集。把敏感信息的采集节点尽量后移，既能减少数据留存，也能让必要性的说明更站得住。在产品说明中向用户解释每一步为什么要这些材料。

相关阅读：案例情景库 ｜ 实务文章 ｜ 常见问答 ｜ 法条要旨速查