本文基于《从填表到刷脸，谁在过度收集个人信息?》（来源：新华网）整理。

对外经济贸易大学数字经济与法律创新研究中心主任、国内数字法学领域权威专家许可长期深耕个人信息保护、数字经济法治治理相关研究，先后参与多项数字领域立法的前期论证工作。本次他针对全民普遍遭遇的个人信息过度收集乱象展开深度拆解，当前数字场景下从线上App的权限索取到线下商业场景的信息采集，个人信息被越界收集的问题已经从偶发的权益侵害事件升级为具有普遍性的数字治理难题，厘清过度收集行为的法治边界，完善对应的规制体系，是当前数字法治建设领域亟需回应的核心议题，对平衡数字产业创新发展与公民人格权益保障具有不可替代的专业价值。

从当前学界与实务界的讨论来看，针对个人信息过度收集的概念界定始终存在核心争议。第一种观点秉持严格规制立场，认为只要信息收集行为超出产品服务的“最小必要”范畴，无论是否获得用户形式上的授权，都应当直接归入过度收集的违法范畴，该流派的核心支撑逻辑是个人信息属于公民的人格权益核心组成部分，任何超出法定边界的收集行为都天然具备可责性。第二种观点秉持产业谦抑立场，认为应当赋予数字平台一定的信息收集弹性空间，只要用户点击了授权同意，即便部分信息超出当前直接服务的必要范围，也应当认定收集行为具备合法性，该观点主要考量数据作为数字生产要素的流通价值，避免过度规制抑制数字产业的创新活力。第三种观点属于当前司法实务界的主流折中立场，认为应当建立“场景化最小必要”的判定框架，结合具体服务场景的功能属性，动态判断信息收集的边界，既不盲目一刀切否定平台的合理数据需求，也绝不允许以“用户授权”为幌子无度索取无关个人信息。

从核心逻辑拆解维度来看，首先要厘清当前实践中过度收集行为的三类典型违法形态。第一类是显性的“技术强制”类过度收集，正如国家网络安全通报中心近期通报的71款存在违法违规收集使用个人信息行为的移动应用所呈现的特征：部分App设置“不授权就无法使用”的霸王条款，用户必须同意开启通讯录、位置权限等多个完全与核心服务无关的权限，才能进入应用主界面，这种行为本质是利用信息不对称与技术架构优势，将服务使用权异化为逼迫用户让渡个人信息的对价。据许可教授的研判，这类行为即便在形式上获取了用户的点击授权，也本质上违背了个人信息收集的自愿原则，具备明确的违法性。第二类是隐性的“超范围索取”类过度收集，不少仅用于提供基础内容浏览的资讯类App，却强行索取麦克风、相册访问权限，部分网贷类App以“查看额度”为引流钩子，在用户点击操作的瞬间就批量获取用户的全量通讯录、财产轨迹信息，后续衍生出精准的骚扰推销链条，这类索取的信息与App宣称的核心服务功能没有任何对应性，完全不属于“最小必要”的覆盖范围。第三类是线下场景的无规制过度收集，从保险续保阶段用户的车辆信息、投保记录被跨机构流转泄露，到线下教育培训机构、房产中介、各类商业会员登记场景下无边界收集用户的手机号、家庭住址、职业收入等敏感信息，大量线下场景的信息收集完全没有留下合规的告知痕迹，甚至很多用户都不知道自己的信息在何时被何种主体收集，更谈不上后续的权益救济渠道。

针对当前法治领域专业群体普遍存在的实务痛点，许可教授给出了明确的专业判断。不少执业律师、企业合规法务在处理相关案件时，常常疑惑“用户已点击‘同意授权’是否就能直接豁免平台的过度收集责任”，对此专家明确指出：形式上的用户授权不构成违法阻却的合法事由，判定收集行为是否违法的核心标尺永远是“场景化的最小必要原则”，如果收集的信息与当前提供的核心服务不存在直接的、不可替代的关联，哪怕用户点击了同意，该收集行为依然属于《个人信息保护法》所规制的过度收集行为。还有不少实务从业者提出，当前很多过度收集的损害后果是间接的，用户收到骚扰电话却很难证明信息泄露与特定App的直接关联，对此专家指出，在这类案件的举证规则适配中，应当适用因果关系推定规则，只要用户能够证明自己仅在该特定App中提交了对应个人信息，后续即出现了精准的骚扰推送，且该App无法举证自身的信息收集、存储、流转全流程完全合规，就应当推定因果关系成立，由信息收集主体承担对应的侵权责任。

点击查看法治中国建设网专家分享栏目更多相关内容。

从研究前瞻与实践指引的维度来看，未来我国个人信息过度收集的法治治理体系将向精细化、全链条的方向演进。对于法治领域的研究者而言，可以重点聚焦“场景化最小必要原则”的类型化落地展开研究，针对外卖平台、社交软件、金融服务、民生政务等不同领域的差异化场景，梳理形成可直接适配司法裁判的判定标准体系，填补当前立法中相对原则性的规则空白。对于办理相关案件的执业律师、从事数据合规工作的企业法务人员而言，应当重点关注近期个人信息保护领域的典型指导案例，建立对应的合规校验清单：针对App的每一项权限索取，都要逐一核验其与核心服务的关联性，对于非必要的权限索取直接纳入高风险合规排查范围，同时留存好所有用户告知、授权获取的全流程合规痕迹，在应对相关纠纷时可以形成完整的合规抗辩链条。后续随着数字法治建设的持续推进，个人信息保护的制度笼子将不断扎紧，所有无视用户权益的过度收集行为，都将在清晰的法治规则框架下得到精准规制，最终实现公民个人信息权益保障与数字产业健康发展的双向平衡。

内容合规声明：本文基于《从填表到刷脸，谁在过度收集个人信息?》（来源：新华网）整理撰写，所有涉及的法律规范、机构名称、政策表述均经核对确认现行有效。如有引用不当或信息更新，请以官方最新发布为准。法治中国建设网致力于提供权威准确的法治资讯，欢迎监督指正。

【特别说明】本通讯稿所配图片为概念性示意图，并非现场实拍照片，其作用在于辅助读者更直观、深入地理解文章所阐述的内容，特此说明。