研究问题
经营者如何证明信息处理为履行合同所必需，并继续满足告知、自主选择、最小影响及保存退出要求？
核心观点
- 合同文字不能创造必要性，应检验缺少信息是否使基本或自主选择附加功能无法实现。
- 合同必需依据、告知与同意效力是不同问题，不能用一份协议代替全部审查。
- 最小必要还约束共享、输出和保存，风控所需不等于营销和任意共享也有依据。
- 敏感信息或重大自动化决策应继续审查额外条件，原判没有覆盖全部数据与算法。
不是协议写进需要，就属于履行合同所必需
许多产品把信息处理写在服务协议里，用户开通时点击同意。但合同中有约定，并不自动证明收集职业、信用状况或者设备信息是必要的。否则，经营者只要把自身商业偏好写成服务内容，就能绕开个人信息保护法对必要性的限制。
个人信息保护法第十三条列出不同处理依据，其中包括为订立、履行个人作为一方当事人的合同所必需。第六条同时要求目的明确、合理、直接相关，并采取对个人权益影响最小的方式。这两条需要衔接理解，一条说明为何能够处理，另一条继续约束处理到什么程度。
本研究以2025年公布的指导性案例265号、266号作比较，区分基本服务、用户自主选择的附加服务、信息用途及影响范围。重点不是给某一行业发放通行许可，而是建立能针对具体功能和数据流逐项检验的判断方法。
同样是开通服务，两案为什么得到不同结论
指导性案例265号涉及英语学习网站及应用。用户登录时被要求填写职业、学习目的、学龄阶段和英语水平等画像信息，没有跳过或拒绝选项。经营者主张，自动推荐是产品基本功能，因此画像不可缺少。法院认为，涉案在线课程等基本服务并不必须依赖这些信息，也无证据证明用户自主选择了相应附加功能，认定相关处理侵害个人信息权益。
指导性案例266号涉及先乘车后付款。第三方需要先行垫付车费，信用服务承担风险评估、履约信息积累和还款提醒功能。法院认为相关信用信息与合同目的直接相关，且有显著告知、其他乘车方式和便捷退出机制，向公交公司提供的只是准入结论，最终没有支持用户的侵权请求。
两案都发生在个人信息保护法施行前，公开理由说明在审理时参照了该法相关精神。该法于2021年8月20日通过，2021年11月1日施行。今天评价新行为，应直接审查现行规范，不能把历史案件的参照适用表述当成所有时期相同的适用方式。
第一步，把用户真正购买的功能讲清楚
必要性判断应从合同类型、内容和实际功能出发。在线学习的核心可能是观看课程和获得辅导，信用垫付则需要评估用户未付款风险。不能只凭功能名称相似就认为信息范围相同，也不能只听产品方自称某项处理属于基本功能。
一个可操作的检验，是设想不处理这项信息时，基本服务或者用户自主选择的附加服务是否仍能实现。如果课程仍可播放，只是推荐不够精准，经营便利与合同必需就存在距离。如果服务本身包含第三方垫资，完全不能判断履约风险，则可能影响所选择功能的实现。
这一检验不能机械理解为只有绝对技术上无法运行才必要。应结合行业规范、服务义务和合理风险控制综合判断，同时防止把提升点击率、方便营销或扩大数据积累等商业目的混入。指导性案例265号明确，可参考相关规范对必要信息范围的规定，但仍须结合合同事实。
第二步，附加服务必须有真实的自主选择
用户自愿开通额外功能，可以改变合同需要处理的信息范围，但自主选择应当是事实。把画像填写设置为登录唯一入口，再说用户已经主动提交，无法说明其自愿接受一项本可不选的附加服务。
在英语学习案中，缺少跳过、拒绝或其他登录方式，是判断非自愿的重要事实。先享后付案则考察了现金、实体卡等方式以及账户注销途径，说明乘客对是否接受相应信用服务仍有选择。这里的比较不是现金存在就可以收集任何信息，而是把功能必要性和选择机制一起审查。
对产品而言，应分清拒绝某项附加功能与拒绝整个基础服务的后果。个人信息保护法第十六条禁止因不同意处理或者撤回同意而拒绝服务，但提供服务所必需的处理除外。经营者引用例外时，需要说明究竟是哪一项功能无法提供，不能把拒绝额外画像变成退出全部产品的理由。
第三步，有处理依据，也不能跳过告知
合同所必需的处理，在法律规定范围内可以不另行取得个人同意，但告知义务仍须独立检查。第十七条要求真实、准确、完整地说明处理者、目的、方式、信息种类、保存期限及权利行使途径，原则上应在处理前以显著、易懂方式告知。
先享后付案中，页面和条款的显著展示支持了没有误导的判断。企业不能只复制蓝色字体或者加粗样式，就认为内容和实际处理均已合规。告知的目的、范围与后台数据流不一致，再醒目的按钮也不能解决问题。
反过来，告知充分同样不意味着所有收集都必要。告知回答用户能否知道，必要性回答该处理是否与服务目的相称，同意还关系自主、明确等要求。这些条件应分别论证，不宜用一份长协议代替全部审查。
第四步，从收集延伸到共享与保存
最小必要不只关心收集入口，还涉及处理方式和对外输出。信用服务内部可能需要评估风险，但公交公司是否需要看到完整信用资料，是另一个问题。指导性案例266号注意到合作方收到的是准入与否的结论，提供了一种减少个人权益影响的思路。
将此用于其他业务时，应说明每一接收方真正需要什么。支付、履约、风控和营销即使在同一产品内，也可能有不同目的。向另一处理者提供信息，与委托服务商处理也有不同法律要求，不能因为都叫合作方，就跳过对角色及相应义务的识别。
第十九条要求除法律、行政法规另有规定外，保存期限为实现目的所必要的最短时间。开通时必要的信息，不代表服务结束后仍可无限期保存。既有合同尚未结算、确有法定保存要求或者删除技术障碍时，也不能泛化为继续画像和营销的理由，第四十七条对相应情形下停止其他处理设有要求。
风险评价涉及敏感信息时，审查还会加重
信用服务所使用的不同数据项，不能一概按普通资料处理。如果涉及金融账户、行踪轨迹等敏感个人信息，个人信息保护法第二十八条要求特定目的、充分必要性及严格保护措施，相关告知和处理依据也应按照具体规则审查。
因此，能够说明风控有帮助，仍不足以覆盖任何高影响数据。需要进一步问，是否可以采用较少或影响更小的信息达到目的，谁能够接触，能否纠正错误，是否由自动化决策对个人产生重大影响。第二十四条关于透明、公平和有关个人权利的要求，不能因处理最初有合同依据就被排除。
两件指导性案例没有披露全部算法变量、训练资料或每种数据保存期，不能据此判断某一现有评分系统的每个环节合法。研究方法可以借鉴，系统结论必须回到实际资料。
争议处理应把请求指向具体数据和行为
用户提出权利请求时，可以说明何时看到什么页面、哪项资料无法跳过，以及希望查阅、复制、删除或解释什么内容。清晰的信息副本有助于确认处理范围，单纯要求平台删除一切，可能因对象不明而难以落实。
经营者则应能对应说明每一数据项的目的、依据、必要性、流向和保存安排，并提供便捷申请途径。若认为某些数据仍须保存，应解释依据与限制，而不是只说系统无法操作。是否承担损害赔偿，还需要依据具体侵害、损害及相应举证规则审查，不应把停止处理和赔偿金额混成一个结论。
以2026年11月12日为研究时点，更稳妥的判断顺序是先界定用户选择的服务，再核对信息与功能的直接关系，继续审查自主选择、告知和影响最小，最后追踪共享、保存与退出。这样才能既容纳有依据的信用和数字服务，也防止合同文字把非必要处理包装成用户必须接受的条件。
引用与依据
研究截至2026年11月12日，依据2021年8月20日通过、2021年11月1日施行的个人信息保护法第六条、第十三至十九条、第二十一至二十四条、第二十八至三十条、第四十七至五十条。
裁判比较来自最高人民法院2025年8月28日公布的第47批指导性案例265号与266号。前者为罗某诉某科技公司隐私权、个人信息保护案，北京互联网法院（2021）京0491民初5094、北京四中院（2022）京04民终494。后者为黄某诉某信用管理公司案，杭州互联网法院（2021）浙0192民初8058。两案行为均早于个保法施行，公开理由说明审理时参照相关精神，本文与今天直接适法区别。
本文研究截至 2026.11.12，阅读时请结合具体事实及此后的规则变化。