导语

最小必要争议的攻防，本质上是围绕「这个字段到底有没有必要」展开的事实之争。企业需要证明必要性，主张方需要证明超范围，双方的着力点集中在同一条证据链上。

本篇从两侧梳理动作顺序与要点，帮助形成完整的攻防预案。

规则出处与规范指向

《中华人民共和国公司法》第六条（处理个人信息的最小必要原则）：《个人信息保护法》第六条规定：处理个人信息应当具有明确、合理的目的，并应当与处理目的直接相关，采取对个人权益影响最小的方式；收集个人信息，应当限于实现处理目的的最小范围，不得过度收集个人信息。最小必要是贯穿采集、使用、留存全过程的持续性原则，而非一次性门槛。

一、企业一侧

第一步，整理字段必要性论证材料，形成「字段—功能—必要性」三列台账，作为应对质疑的基础材料。

第二步，对无法说明用途的存量字段主动下线，把整改动作与时间留存，体现持续合规。

第三步，把第三方 SDK 纳入台账管理，摸清其采集范围，这是实务中最容易被忽视的风险来源。

二、个人与监管一侧

第一步，通过现场测试取证，完整记录从安装到业务流程结束过程中的每一次权限申请与字段填写。

第二步，比对同类产品与行业惯例，用横向对照说明采集范围明显超出必要限度。

第三步，重点核查是否先请求权限后展示用途、是否存在与功能无关的权限索取，这两类情形举证成本低且说服力强。

操作清单

企业侧：整理字段必要性论证材料，对无法说明用途的存量字段主动下线并留痕。

企业侧：把第三方组件纳入台账，摸清其数据采集范围。

主张方：通过现场测试取证，完整记录每一次权限申请与字段填写。

主张方：优先锁定「与功能无关的权限索取」这类事实清晰的情形，举证成本低且说服力强。