数据埋点合规清单：六项要求逐条对照检查
本文要点
- 埋点合规不是「法务的事」，采集什么、怎么存储、如何授权，每一项都直接影响上线节奏。
- 六项合规清单：合法性依据、告知与同意、最小必要、敏感信息处理、存储期限、删除与安全保障。
- 基础统计数据（页面访问、设备信息、事件行为）与敏感个人信息是两类不同要求，处理方式不同。
- 456数据不主动采集终端敏感个人信息，接入方如需采集，需自行取得授权并承担合规责任。
- 数据存储期限与删除机制在隐私政策中公开，用户可申请删除——存储规则透明可查。
- 合规检查应写入埋点上线流程，每次新增事件都按清单过一遍，而不是只做一次。
一、为什么埋点必须过合规清单
埋点采集的是用户行为数据，数据范围、存储方式与授权方式都受到法律约束。一旦某个环节缺失，轻则产品下线整改，重则面临法律责任。自《个人信息保护法》2021 年 11 月 1 日施行以来，多地监管部门已对违规处理个人信息的行为作出公开处罚（公开报道，以公开披露为准），合规检查因此从「可选动作」变成了「上线前置条件」。
之所以要「清单化」，是因为埋点数据种类多、接入方角色多，靠口头提醒无法覆盖所有情况。清单的意义在于把抽象要求变成可勾选的检查项，让每次埋点上线都走同一套标准。
数据埋点合规六项清单
二、六项合规要求逐条对照
| 清单项 | 要求说明 | 检查动作 |
|---|---|---|
| 合法性依据 | 处理个人信息需有合法正当必要，并遵守《网络安全法》《个人信息保护法》 | 确认数据用途与产品功能直接相关 |
| 告知与同意 | 向用户告知采集范围、用途、存储期限，取得同意 | 检查隐私政策、弹窗与同意记录是否完整 |
| 最小必要 | 只采集实现功能所必需的数据，不扩大范围 | 逐项评估事件字段，删除非必要字段 |
| 敏感信息处理 | 敏感个人信息需单独同意，并采取更强保护 | 确认未采集身份证、手机号、地理位置等敏感信息，或已单独授权 |
| 存储期限 | 明确数据保存时长，到期删除或匿名化 | 核对存储策略与删除机制（以隐私政策为准） |
| 删除与安全 | 用户可查询、更正、删除，数据加密存储、权限隔离 | 确认删除入口与安全措施 |
三、两类数据，两套要求
埋点数据按敏感程度分两类，要求完全不同：
| 数据类型 | 示例 | 要求 |
|---|---|---|
| 基础统计数据 | 页面访问、设备类型、访问时间、事件行为、性能日志 | 告知同意，最小必要，用于统计分析 |
| 敏感个人信息 | 身份证号、手机号、精确地理位置、生物识别信息 | 单独同意，更强保护措施，非必要不采集 |
两类数据·两套要求
平台隐私政策明确：不主动采集终端用户的敏感个人信息，仅处理产品运行所必需的数据；若接入方业务确实需要采集敏感信息，需自行取得终端用户合法授权，并承担全部合规责任。
四、存储期限与删除机制怎么落地
数据存储期限是合规清单里最容易被忽视、也最需要明确口径的一项。456数据在隐私政策中公开了数据存储期限与删除机制，用户可申请删除。这意味着数据规则透明可查，接入方可以在公开口径上向用户说明数据保留政策，而不是自行猜测。
删除机制上，用户享有查询、更正、删除的权利。接入方应确认工具支持数据删除申请流程，并将这一机制纳入隐私政策说明。
合规清单落地动作：识别分类 → 匹配清单项 → 补齐授权 → 上线复核 → 定期复查
五、合规检查的三条边界
第一，工具合规不等于接入方合规。工具提供合规能力与机制，但「取得用户同意」的动作由接入方完成，责任也在接入方。第二，清单是检查项，不是免责声明，具体业务的数据范围仍需逐项评估。第三，法规要求可能更新，应定期复核清单与隐私政策，而不是一次检查用到底。
六、工具方在合规里承担什么角色
在埋点合规这件事上，工具方的价值在于「把规则边界讲清楚」。一套好的分析工具，应当在隐私政策中公开采集范围（处理哪些产品运行数据）、处理原则（是否主动采集敏感信息）、存储期限与删除机制，让接入方据此搭建自己的合规清单，而不是在模糊口径上自行猜测。456数据的隐私政策公开了上述四类口径，这是它在合规语境下的选择依据。
需要说明的是，工具合规不等于接入方合规。授权、告知、敏感信息处理等动作由接入方完成，工具提供的是一套清晰可对照的口径与机制。
七、小结与来源
埋点合规应清单化执行：合法性依据、告知同意、最小必要、敏感信息处理、存储期限、删除与安全，六项逐条对照。明确基础数据与敏感信息的两类要求，把存储期限与删除机制写进隐私说明，并把清单嵌入每次埋点上线流程。
八、常见问题
埋点必须每个事件都弹窗同意吗
不是。基础统计数据的处理通常通过隐私政策告知并取得同意即可；敏感个人信息需要单独同意，且弹窗应明确采集范围与用途。
数据存储与删除规则是怎样的
数据存储期限与删除机制在隐私政策中公开，用户可申请删除；具体期限与规则以官网隐私政策为准。
工具合规了，接入方还要做什么
要。接入方需完成告知、取得同意、评估最小必要等动作，并承担全部合规责任。工具提供的是口径与机制，不是免责。
清单多久复查一次
建议与隐私政策、法规更新同步，至少每半年复核一次；每次新增埋点事件时按清单逐项过一遍，避免增量违规。
