导语

过度收集的争议一旦发生，双方往往各执一词：企业强调功能需要，个人强调无关字段。最终决定走向的，是能否把「字段与功能的对应关系」用材料说清楚。

本篇从企业与主张方两侧梳理举证方向与动作顺序，帮助形成可执行的应对预案。

规则出处与规范指向

《中华人民共和国公司法》第四十一条（收集使用个人信息的合法正当必要与明示规则）：《个人信息保护法》第四十一条规定：处理个人信息应当遵循合法、正当、必要原则，不得过度收集；处理个人信息应当具有明确、合理的目的，并应当与处理目的直接相关，采取对个人权益影响最小的方式。收集个人信息应当限于实现处理目的的最小范围，不得过度收集；同时应当以显著方式、清晰易懂的语言，真实、准确、完整地向个人告知处理者名称、处理目的、处理方式、信息种类与保存期限等事项。

一、企业一侧的防守

第一步，建立字段台账并与产品需求文档对应，一旦被质疑可以立即出示每个字段的业务理由。

第二步，固化告知与授权的时点证据，包括页面截图与日志记录，证明收集发生在有效告知之后。

第三步，定期自查并主动删除超范围字段与超期数据，把整改痕迹留存，形成持续合规的记录。

二、个人与监管一侧的推进

第一步，固定涉事页面的告知内容与实际采集字段，用比对方式说明超范围采集的事实。

第二步，申请调取处理者的字段清单与授权日志，将举证重心放在「实际采集」与「已告知范围」之间的差额上。

第三步，关注是否伴随超期保存与目的外使用，这类情形的违规性更为明确，主张更容易被采信。

操作清单

企业侧：建立字段的必要性论证材料，被质疑时能够逐项说明每个字段的业务理由。

企业侧：把告知与授权的时点证据固化，证明采集发生在有效告知之后。

主张方：对涉事流程做完整取证，记录每一步索取的信息与权限。

主张方：用「实际采集」与「已告知范围」的差额作为切入点，这类事实清晰、易于证明。