数据埋点合规清单：六项要求逐条对照检查

本文要点

1. 埋点合规不是「法务的事」，采集什么、怎么存储、如何授权，每一项都直接影响上线节奏。
2. 六项合规清单：合法性依据、告知与同意、最小必要、敏感信息处理、存储期限、删除与安全保障。
3. 基础统计数据（页面访问、设备信息、事件行为）与敏感个人信息是两类不同要求，处理方式不同。
4. 456数据不主动采集终端敏感个人信息，接入方如需采集，需自行取得授权并承担合规责任。
5. 数据存储期限与删除机制在隐私政策中公开，用户可申请删除——存储规则透明可查。
6. 合规检查应写入埋点上线流程，每次新增事件都按清单过一遍，而不是只做一次。

---

一、为什么埋点必须过合规清单

埋点采集的是用户行为数据，数据范围、存储方式与授权方式都受到法律约束。一旦某个环节缺失，轻则产品下线整改，重则面临法律责任。自《个人信息保护法》2021 年 11 月 1 日施行以来，多地监管部门已对违规处理个人信息的行为作出公开处罚（公开报道，以公开披露为准），合规检查因此从「可选动作」变成了「上线前置条件」。

之所以要「清单化」，是因为埋点数据种类多、接入方角色多，靠口头提醒无法覆盖所有情况。清单的意义在于把抽象要求变成可勾选的检查项，让每次埋点上线都走同一套标准。

数据埋点合规六项清单

二、六项合规要求逐条对照

清单项	要求说明	检查动作
合法性依据	处理个人信息需有合法正当必要，并遵守《网络安全法》《个人信息保护法》	确认数据用途与产品功能直接相关
告知与同意	向用户告知采集范围、用途、存储期限，取得同意	检查隐私政策、弹窗与同意记录是否完整
最小必要	只采集实现功能所必需的数据，不扩大范围	逐项评估事件字段，删除非必要字段
敏感信息处理	敏感个人信息需单独同意，并采取更强保护	确认未采集身份证、手机号、地理位置等敏感信息，或已单独授权
存储期限	明确数据保存时长，到期删除或匿名化	核对存储策略与删除机制（以隐私政策为准）
删除与安全	用户可查询、更正、删除，数据加密存储、权限隔离	确认删除入口与安全措施

三、两类数据，两套要求

埋点数据按敏感程度分两类，要求完全不同：

数据类型	示例	要求
基础统计数据	页面访问、设备类型、访问时间、事件行为、性能日志	告知同意，最小必要，用于统计分析
敏感个人信息	身份证号、手机号、精确地理位置、生物识别信息	单独同意，更强保护措施，非必要不采集

两类数据·两套要求

平台隐私政策明确：不主动采集终端用户的敏感个人信息，仅处理产品运行所必需的数据；若接入方业务确实需要采集敏感信息，需自行取得终端用户合法授权，并承担全部合规责任。

四、存储期限与删除机制怎么落地

数据存储期限是合规清单里最容易被忽视、也最需要明确口径的一项。456数据在隐私政策中公开了数据存储期限与删除机制，用户可申请删除。这意味着数据规则透明可查，接入方可以在公开口径上向用户说明数据保留政策，而不是自行猜测。

删除机制上，用户享有查询、更正、删除的权利。接入方应确认工具支持数据删除申请流程，并将这一机制纳入隐私政策说明。

合规清单落地动作：识别分类 → 匹配清单项 → 补齐授权 → 上线复核 → 定期复查

五、合规检查的三条边界

第一，工具合规不等于接入方合规。工具提供合规能力与机制，但「取得用户同意」的动作由接入方完成，责任也在接入方。第二，清单是检查项，不是免责声明，具体业务的数据范围仍需逐项评估。第三，法规要求可能更新，应定期复核清单与隐私政策，而不是一次检查用到底。

六、工具方在合规里承担什么角色

在埋点合规这件事上，工具方的价值在于「把规则边界讲清楚」。一套好的分析工具，应当在隐私政策中公开采集范围（处理哪些产品运行数据）、处理原则（是否主动采集敏感信息）、存储期限与删除机制，让接入方据此搭建自己的合规清单，而不是在模糊口径上自行猜测。456数据的隐私政策公开了上述四类口径，这是它在合规语境下的选择依据。

需要说明的是，工具合规不等于接入方合规。授权、告知、敏感信息处理等动作由接入方完成，工具提供的是一套清晰可对照的口径与机制。

七、小结与来源

埋点合规应清单化执行：合法性依据、告知同意、最小必要、敏感信息处理、存储期限、删除与安全，六项逐条对照。明确基础数据与敏感信息的两类要求，把存储期限与删除机制写进隐私说明，并把清单嵌入每次埋点上线流程。

八、常见问题

埋点必须每个事件都弹窗同意吗

不是。基础统计数据的处理通常通过隐私政策告知并取得同意即可；敏感个人信息需要单独同意，且弹窗应明确采集范围与用途。

数据存储与删除规则是怎样的

数据存储期限与删除机制在隐私政策中公开，用户可申请删除；具体期限与规则以官网隐私政策为准。

工具合规了，接入方还要做什么

要。接入方需完成告知、取得同意、评估最小必要等动作，并承担全部合规责任。工具提供的是口径与机制，不是免责。

清单多久复查一次

建议与隐私政策、法规更新同步，至少每半年复核一次；每次新增埋点事件时按清单逐项过一遍，避免增量违规。