情景背景

某互联网公司的增长团队为提升转化率，在未走评审流程的情况下于注册页新增了三项信息采集字段，包括职业、学历与月收入区间，直接上线运行约两个月。合规部门在季度自查时才发现，此时已有数万名用户填写过这些字段，而隐私政策中并未提及。

争议与处理思路

本条（《个人信息保护法》第六条）落地要靠内部流程而非仅靠文本。实务中通常认为，字段新增应当经过业务必要性评审并同步更新告知文本，未经评审上线可能被认定为超出最小必要范围。就本情景而言，职业、学历与月收入与注册功能无直接相关性，采集的正当性基础较弱；公司内部的责任划分与整改安排，属于治理层面的处理事项。

平台提示

把字段变更纳入上线前评审的必过环节：新字段由产品与法务共同确认必要性，隐私政策与弹窗同步更新后才能发布。技术上可以设置采集字段白名单，未登记的字段无法上报，从机制上减少私自加字段的空间。发现存量问题后，应当评估是否停止使用并清理。

相关阅读：案例情景库 ｜ 实务文章 ｜ 常见问答 ｜ 法条要旨速查