什么是数据最小化？含义、法律要求和例子

什么是数据最小化？

数据最小化是指：只收集、使用和保存为明确目的真正需要的个人信息，用识别性尽量低的形式，保存时间不超过必要的期限。它是 GDPR 的核心原则之一，我国《个人信息保护法》称之为「最小必要」，大多数现代隐私法都有类似表述。

道理大家都认同，做起来却难，因为做统计时的本能是「先收着，以后可能用得上」。数据最小化要求先说清目的，再逐个字段对照目的去论证。

法律怎么规定

最小化还和目的限制（不能把数据挪作无关用途）、存储限制（目的达成后就删除）配合使用。

每个字段问四个问题

1. 到底需不需要？哪个决策或功能依赖它？
2. 需要到个人粒度，还是汇总就够？按国家统计的每日总量能回答大部分流量问题。
3. 还能用、但识别性最低的形式是什么？城市代替经纬度，年龄段代替生日。
4. 要保存多久？常见做法是原始明细存 90 天，汇总数据存几年。

统计数据中常见字段的最小化写法

示例：审查一份埋点方案

示例数据：一家 SaaS 公司按既定目的（产品分析和账单报表），审查埋点方案里的 24 个事件和用户属性。

审查前，有三个直接标识以原始形式存储（邮箱、手机号、街道地址）；审查后一个都没有。产品团队实际用到的数据一点没少；账单报表在计费系统里按 account_id 关联，公司名称本来就在那里。24 个属性里改了 9 个（37.5%），首轮审查通常就是这个量级。

为什么值得做

• 泄露影响更小：没存的数据就泄露不了。
• 同意流程更简单：在部分地区，不识别个人的统计可能不需要和识别追踪同等的同意；具体以当地法律意见为准。
• 个人请求更好处理：个人信息越少，查阅和删除请求越容易找全。
• 数据更干净、更便宜：高基数字段少了，表更小，查询更快。

常见误解

• 「以后可能用得上」：可能的未来用途不是目的。真成了目的，再开始收集。
• 「做了哈希就没事了」：对邮箱做哈希属于假名化，结果仍是个人信息。参见 PII。
• 「最小化会让分析变差」：分析行为不需要知道是谁。漏斗、按批次的留存、渠道效果，用假名 ID 都能做。

TapCub 里的数据最小化

• 采集等级：在 配置 › 合规中心 设置。等级 1 是匿名汇总，盐值每天更换；等级 2（默认）是无 Cookie 的假名；等级 3 只有项目处于身份识别模式时才会使用设备 ID 和登录信息。参见采集等级。
• 事件上不存 IP 地址：地址先截短，用于地理位置和访客哈希后即丢弃；地理位置可以精确到城市、国家，或者完全不记录。
• 默认开启剥离：像邮箱、手机号的字符串会替换成占位符；自动采集默认不记录元素文字。
• 保存期限自己定：项目保存期限可选 30、90、365 或 730 天，在 配置 › 设置 › 隐私 里设置，定时任务会删除过期数据。参见数据保留策略。
• 校验规则可以在入库时删除属性：不该出现的字段，在存储前就被去掉。

资料来源

• GDPR 第 5 条：个人数据处理原则、第 25 条：设计和默认的数据保护。
• 英国信息专员办公室（ICO），原则（c）：数据最小化。
• 欧洲数据保护委员会（EDPB），关于第 25 条的指南 4/2019。
• 《中华人民共和国个人信息保护法》（2021），第 6 条。