导语

最小必要的举证有个特点：主张方往往凭借一次完整的现场操作记录就能说明问题，而处理者需要拿出成套的材料来证明每个字段的必要性。举证成本的不对称，让事前准备显得格外重要。

本篇梳理双方各自的举证重点，并说明监管检查中最常用的取证方法。

规则出处与规范指向

《中华人民共和国公司法》第六条（处理个人信息的最小必要原则）：《个人信息保护法》第六条规定：处理个人信息应当具有明确、合理的目的，并应当与处理目的直接相关，采取对个人权益影响最小的方式；收集个人信息，应当限于实现处理目的的最小范围，不得过度收集个人信息。最小必要是贯穿采集、使用、留存全过程的持续性原则，而非一次性门槛。

一、企业要证明的层次

要证明每个采集字段对应的具体功能，说明去掉该字段功能将无法实现。这是「目的关联」的举证。

要证明在可选范围内选择了影响最小的方案，例如说明为何不接受相册权限而采用系统单次选图能力。

要证明采集范围与频次受控，例如提供字段清单、采集触发逻辑与数据留存策略。

二、主张方的切入方式

以现场测试的方式取证：安装 App、走完业务流程，记录在哪一步索取哪些权限与字段，这是最直观的证据。

比对同行业同类功能的最低必要范围，说明处理者索取的项目明显超出通行做法，用以支撑「超范围」的判断。

操作清单

编制「字段—功能—必要性」三列台账，作为应对质疑的基础材料。

保存可替代方案的评估记录，说明为何选择了影响最小的处理方式。

主张方可以录制完整的操作过程，记录从安装到业务结束的每一次权限申请。

主张方可以比对同类产品的通行做法，用横向对照支撑超范围的判断。