數據權益的厘清與保護--最高法院數據權益司法保護指導性案例評析（下）
作者：吳衛明 2025-09-04五、因必要性引發的個人信息權益侵權案件解析
個人信息收集的必要性，也稱為最小必要原則，是指個人信息處理者只處理滿足個人信息主體授權同意的目的所需的最少個人信息?；蛘哒f，如果某項業務活動離開了特定的個人信息將無法展開，那么該項個人信息即滿足個人信息收集的必要性。
個人信息收集的必要性問題，一直是個人信息監管機構最為關注的問題，也是在實踐中侵害個人信息權益最為常見的一種情況。在《最高人民法院關于發布第47批指導性案例的通知》（〔2025〕150號）中，指導性案例265、266號即屬于此類案件。
（一）指導性案例265號簡介
基本案情：
某科技公司運營某英語學習網站及兩款APP。2021年1月，科技公司在未征得羅某同意的情況下，通過線下合作體驗店收集羅某兩個手機號碼，為羅某創建案涉某英語學習網站的賬號密碼，并向羅某手機發送多條相關信息。為了解賬號情況，羅某在案涉某英語網站和案涉APP賬號登錄頁面輸入手機號、密碼并點擊登錄，即出現若干問答界面，要求用戶填寫“職業”、“學習目的”、“學齡階段”、“英語水平”等內容，不填寫相關信息則無法繼續登錄過程。填寫完成后，還需填寫個人基本信息界面，輸入中英文名等必填內容才能完成注冊。上述過程中并無“跳過”、“拒絕”等選項，亦無授權同意收集個人信息的提示。
羅某以隱私權、個人信息保護糾紛為由提起訴訟，訴稱：案涉網站和APP未告知個人信息收集政策，強制收集羅某手機號、用戶畫像等信息，并超范圍使用，侵害其個人信息權益。據此，請求法院判令某科技公司向其提供清晰的個人信息副本、停止侵權、刪除個人信息、公開賠禮道歉并賠償損失人民幣2900元。
裁判結果：
北京互聯網法院于2022年8月1日作出（2021）京0491民初5094號民事判決，判令某科技公司向羅某提供清晰的個人信息副本，停止關于羅某名下兩部手機號碼及其用戶畫像信息、賬號密碼信息、訂單信息等個人信息的處理行為和刪除相關個人信息，以書面形式向羅某賠禮道歉并賠償律師費、取證費合計人民幣2900元。北京市第四中級人民法院于2022年11月28日作出（2022）京04民終494號民事判決，二審維持原判。
裁判理由：
1、案涉個人信息的收集并不屬于訂立、履行合同所必需
對于“合同所必需”的認定，可以結合有關法律法規及規章、規范性文件等對必要個人信息范圍的規定，并考量合同的類型、內容等作出認定：如果信息處理的缺位將使合同約定的基本功能服務或者用戶自主選擇的附加功能服務無法實現的，可以認定為訂立、履行合同所必需，反之則不予認定。案涉APP作為學習教育類APP，其基本功能服務并不包括通過自動化決策方式向用戶進行信息推送。由此，某科技公司以其業務模式系通過自動化決策方式向用戶進行信息推送為由，主張收集用戶畫像信息是其提供服務的基礎，沒有依據。換言之，用戶畫像信息并非案涉APP提供服務的必要個人信息。
2、相關個人信息并不影響產品基本功能的實現
本案中，案涉APP基本功能服務為提供在線課程視頻流和相關圖文、視頻等信息，收集用戶畫像信息并非其基本功能服務所必需，亦無證據表明羅某曾自主選擇使用附加功能服務，故某科技公司以其實現自動化決策功能服務為由徑直收集用戶畫像信息行為的依據不足，不構成無需取得個人同意即可處理用戶個人信息的法定情形。
3、被告未提供拒絕提供個人信息的選項
案涉軟件在用戶首次登錄界面要求用戶提交職業類型、學齡階段、英語水平等用戶畫像相關信息時，未提供“跳過”或者“拒絕”等選項，也未提供不同意提交相關信息情況下的其他替代性登錄方式，使得用戶提交相關信息成為登錄的唯一途徑。此種產品設計將導致不同意收集相關信息的用戶，出于使用軟件的目的，不得不勾選“同意”提供相關信息用。此種情形下“同意”提供個人信息，實際是在用戶非自愿的情況下作出，不符合個人信息保護法的規定。
（二）指導性案例266號簡介
基本案情：
2021年3月15日，黃某歡發現在未經其允許的情況下被開通某信用賬戶，遂詢問某信用賬戶運營商某信用管理有限公司（以下簡稱某信用公司）客服，得知是黃某歡于2021年3月7日開通重慶公共交通乘車碼時使用“先享后付”功能所致。其中，通過某應用開通重慶公共交通乘車碼時需點擊“同意協議并開通”，下方會有藍色字體載明“查看《某應用重慶公共交通付款服務協議》與《某服務協議》《用戶授權協議》，授權重慶公共交通乘車碼獲取你的姓名、手機號、身份證用于實名領卡”。《某應用重慶公共交通付款服務協議》載明，公交付款服務是由某（杭州）信息技術有限公司聯合某（中國）網絡技術有限公司（以下合稱某技術公司）為用戶提供；當用戶滿足一定條件，在用戶無法及時支付乘車費時，某技術公司將為用戶先行支付乘車費，并獲得向用戶主張和追索乘車費款項的債權；用戶須同意授權某技術公司查詢用戶的信用分，作為公交付款服務開通、持續提供的風險評估參考?！赌撤諈f議》載明，用戶授權某信用公司從合法存有用戶個人信息的信息提供者處收集信息并進行處理，收集信息的范圍可能包括個人身份信息、交易信息、履約信息、設備信息及其他能夠評估反映用戶信用或風險狀況的信息等。黃某歡隨即要求某信用公司客服關閉其某信用賬戶并刪除相關個人信息，后黃某歡的某信用賬戶被注銷、相關個人信息被刪除。
2021年10月13日，黃某歡以個人信息保護糾紛為由提起訴訟，訴稱：某信用公司在其開通乘車碼、“先享后付”服務時，存在誤導、強迫、非必要開通某信用服務的行為，請求法院判令某信用公司停止侵權行為并賠償損害。
裁判結果：
杭州互聯網法院于2022年4月6日作出（2021）浙0192民初8058號民事判決，駁回黃某歡的訴訟請求。宣判后，雙方當事人均未提起上訴，判決已生效。
裁判理由：
1、收集案涉個人信息是“先享后付”合同所必需。
在電子公交乘車碼等應用場景中，先乘車后付款即“先享后付”，是商業主體基于用戶選擇而提供的服務，是對承載個人信息的數據的合理運用，也是誠信機制商業化的應用創新。本案中，某信用公司提供“先享后付”功能，可以幫助第三方降低用戶未支付車費可能帶來的資金損失風險，即督促未支付車費的用戶還款。由于“先享后付”功能涉及第三方平臺先行墊資，第三方平臺顯然需要在服務前評估用戶的信用狀況，并據此作出是否提供服務的決定，以確保債權的實現。
收集相關信息顯然屬于為訂立、履行合同所必需，實際本可不經個人同意，但公交公司、某技術公司及某信用公司卻采取了事先征得用戶同意的方式收集信息，最大限度維護了用戶的權益。
2、收集案涉個人信息履行了法定告知義務。
本案中，案涉電子公交卡由公交公司、某技術公司、某信用公司聯合推出，黃某歡在申領前須查閱協議。并且相關協議均已在顯著位置，通過有別于頁面其他黑色字體的方式，提醒用戶注意查閱，且在合同文本中，對個人信息處理的條款，采用了足以引起用戶注意的加粗字體、放大字號、標藍顏色等明顯標識方式。
3、收集案涉個人信息不存在誤導、強迫等情形。
黃某歡作為消費者的確享有自主選擇權，其可以以現金投幣方式乘車，也可以選擇實體公交卡方式乘車，當然還可以選用案涉電子公交卡方式乘車。本案中，公交公司并未強迫其必須選用電子公交卡方式乘車。同時，《電子公交卡服務協議》明確告知用戶，如不愿繼續使用該服務，可以在電子公交卡服務頁面申請退卡或者停止使用服務。
4、收集案涉個人信息符合最小必要原則。
個人信息保護法第六條規定：“處理個人信息應當具有明確、合理的目的，并應當與處理目的直接相關，采取對個人權益影響最小的方式。收集個人信息，應當限于實現處理目的的最小范圍，不得過度收集個人信息。”本案中，某信用服務通過事先對用戶進行信譽評估，向公交公司提供的僅是“準入與否”的結論性信息，屬于實現“先享后付”功能所必需，符合最小必要原則。
（三）指導性案例265號、266號的延申解析：
上述指導性案例265號、266號均涉及個人用戶在注冊及使用相關應用程序過程中的個人信息收集的必要性問題。在指導性案例265號中，法院認為被告方收集個人信息違反了《個人信息保護法》規定的必要性原則，而在指導性案例266號中，法院則認為被告的個人信息收集行為不違反《個人信息保護法》規定的必要性原則。兩個案件的判決結果并不相同，但是判斷是否構成個人信息權益侵權的判斷原則都是一致的，即：以個人信息的收集活動是否是訂立、履行合同所必須作為判斷的核心依據。
1、必要性的源起
《民法典》第一千零三十五條規定，處理個人信息的，應當遵循合法、正當、必要原則，不得過度處理。
《個人信息保護法》第五條規定，處理個人信息應當遵循合法、正當、必要和誠信原則。其中，必要性原則是個人信息處理、執法及司法過程中判斷難度最大的一項原則。必要性原則，又被稱為“最小必要原則”，即收集個人信息應限于實現處理目的的最小范圍，不得過度收集。
《民法典》及《個人信息保護法》對于必要性原則的規定較為原則。為了明確必要性原則的認定標準，在《民法典》及《個人信息保護法》施行前，2019年11月28日，國家互聯網信息辦公室秘書局、工業和信息化部辦公廳、公安部辦公廳、市場監管總局辦公廳即發布了《App違法違規收集使用個人信息行為認定方法》，對于通過APP收集個人信息違反必要性原則的情形做出了規定。
此后，2021年3月12日，國家互聯網信息辦公室、工業和信息化部、公安部、國家市場監督管理總局發布了《常見類型移動互聯網應用程序必要個人信息范圍規定》（國信辦秘字〔2021〕14號），對于常見的APP類型，根據其主要業務功能，以列舉的方式對常見的39類移動應用程序必要個人信息范圍進行了規定。
從國家標準層面，2018年施行并于2020年更新的《信息安全技術-個人信息安全規范》也對個人信息收集的必要性原則做了闡釋。
2、必要性的判斷
最小必要原則在內涵上，包括三個方面的要求，即明確合理、直接相關、影響最小。明確合理是指個人信息處理目的的明確合理，也是判斷是否直接相關的前提。直接相關是指處理個人信息的行為應當與告知的處理目的直接相關，如果沒有個人信息的參與，產品或服務的功能無法實現。影響最小是指對個人權益影響最小，如果不同類型的個人信息都可以實現產品或服務目的，那么應當選擇影響小的類型進行收集。
《個人信息保護法》對于最小必要的規定較為原則，參照《信息安全技術-個人信息安全規范》的內容，可以將其歸納為三個方面的要求，即類型最少、頻率最低、數量最少。
《App違法違規收集使用個人信息行為認定方法》的規定則更為細化，其中第四條規定：以下行為可被認定為“違反必要原則，收集與其提供的服務無關的個人信息。
（1）收集的個人信息類型或打開的可收集個人信息權限與現有業務功能無關；
（2）因用戶不同意收集非必要個人信息或打開非必要權限，拒絕提供業務功能；
（3）App新增業務功能申請收集的個人信息超出用戶原有同意范圍，若用戶不同意，則拒絕提供原有業務功能，新增業務功能取代原有業務功能的除外；
（4）收集個人信息的頻度等超出業務功能實際需要；
（5）僅以改善服務質量、提升用戶體驗、定向推送信息、研發新產品等為由，強制要求用戶同意收集個人信息；
（6）要求用戶一次性同意打開多個可收集個人信息的權限，用戶不同意則無法使用。
《常見類型移動互聯網應用程序必要個人信息范圍規定》則更為細化，以列舉的方式明確常見類型App的必要個人信息。以指導性案例265號所涉及的學習教育類移動應用程序為例，其基本功能服務為“在線輔導、網絡課堂等”，必要個人信息為：注冊用戶移動電話號碼。
綜上，我國通過法律、監管規則、國家標準等多層的規則體系，逐漸確立了個人信息處理“最小必要原則”的判斷標準體系。從上述指導性案例的審理與發布可以看出，這些規則及其確立的原則，在人民法院司法實踐中也得到了體現。
