导语

一家做本地生活服务的公司上线新版本后，运营希望顺带采集用户的通讯录，理由是「方便邀请好友」。法务在评审会上提出质疑：这个字段与当前功能是否真的相关。类似的讨论在企业里几乎每周都在发生，

本篇要回答的是：合法、正当、必要三项原则在实务中如何落地为可判断的标准，明示规则又要求把哪些内容说到个人面前。

规则出处与规范指向

《中华人民共和国公司法》第四十一条（收集使用个人信息的合法正当必要与明示规则）：《个人信息保护法》第四十一条规定：处理个人信息应当遵循合法、正当、必要原则，不得过度收集；处理个人信息应当具有明确、合理的目的，并应当与处理目的直接相关，采取对个人权益影响最小的方式。收集个人信息应当限于实现处理目的的最小范围，不得过度收集；同时应当以显著方式、清晰易懂的语言，真实、准确、完整地向个人告知处理者名称、处理目的、处理方式、信息种类与保存期限等事项。

一、三项原则的审查入口

合法，要求收集行为有法律依据：要么落入法定允许情形，要么取得有效的同意。无依据的收集，即使技术上可行、商业上有用，也属于违规。

正当，要求目的本身端正且与业务真实相关。为日后「可能有用」而顺手多采集，属于典型的目的不正当，监管在检查中会追问采集该字段的业务必要性。

必要，要求范围、频次与精度都受处理目的约束。同一目的下能用粗粒度就不取精粒度，能一次取得就不反复索取。

二、告知义务是并行的独立要求

告知不是形式动作。处理者名称与联系方式、处理目的与方式、信息种类与保存期限，都属于必须让个人明白的实质内容。

实务中最常见的瑕疵是告知语言晦涩或藏在多层页面之后。监管的关注点是个人能否「在收集时点就清楚知道」，而不是企业是否「在某个角落写过」。

操作清单

第一，为每个采集字段写一句业务理由，说明它服务于哪个具体功能；写不出理由的字段直接从需求中删除。

第二，把告知要素逐项核对一遍：处理者名称与联系方式、处理目的与方式、信息种类与保存期限，缺项即补齐。

第三，检查告知的呈现方式，确保个人在收集时点能够看见，而不是折叠在多层页面之后。

第四，每季度复核一次线上实际采集的字段与已评审清单是否一致，重点排查第三方组件带来的隐性采集。