最小必要：别一上来就要通讯录、位置、相册

法律的核心原则

根据《个人信息保护法》，处理个人信息应当具有明确、合理的目的，并应当与处理目的直接相关，采取对个人权益影响最小的方式；收集个人信息，应当限于实现处理目的的最小范围，不得过度收集。也就是说，能不收就不收，能少收就少收，与业务功能无关的信息不得收集。

常见过度收集

一是App一启动就申请通讯录、短信、通话记录权限；二是不同意授权就不让使用基本功能，属于强制收集；三是把用户同意一揽子打包，功能与权限捆绑；四是收集后超范围使用，比如为营销目的使用本来只用于交付的信息。这些做法在监管通报中都是高频问题，会被责令整改。

落地做法

第一，梳理每项业务功能真正需要的字段，做一张功能、信息、目的的对照表。第二，权限按需申请，用时再问，拒绝非必要权限不影响核心功能。第三，敏感信息如生物识别、行踪轨迹、金融账户等取得单独同意。第四，公共场合安装图像采集设备，应设置显著提示标识。第五，定期清理长期不用的数据，减少泄露面。