数据合规实操工具精讲(一):数据收集清单|附案例+可直接套用模板

大家好，我是陈佳律师。

此前和大家分享了数据收集合规的5大核心实操工具，不少朋友反馈，对工具的理解还停留在概念层面，落地时不知从何下手，也不清楚每个细节该如何把控。

从今天起，我会逐一深度拆解这5款工具，每篇都结合官方真实处罚案例+律师实操细节+完整填写模板，帮大家把零散的知识点串联成体系，既能用于自我学习夯实基础，也能直接作为企业合规实操的参考，真正做到学懂、弄通、会用。

第一篇，先讲数据合规源头核心工具——《数据收集清单》，它是规避过度收集、违规收集风险的第一道防线，也是企业合规自查、监管核查的核心文件。

一、什么是数据收集清单？（律师通俗解读）

数据收集清单，是企业对自身业务全场景下，所有拟收集/正在收集的数据进行全面梳理、逐一核验的标准化表格。

简单来说，就是把企业“拿了用户什么数据、为什么拿、合不合法、有没有必要”全部列清楚，杜绝“凭感觉收集、偷偷收集、过度收集”的情况，让数据收集行为全程可追溯、可核查，从源头堵住合规漏洞。

作为律师，我始终强调：数据合规，源头治理成本最低，事后补救代价最高，而数据收集清单，就是源头治理的核心抓手。

二、为什么必须做数据收集清单？（结合官方处罚案例讲透风险）

很多企业、单位觉得清单是“形式主义”，忽视数据收集的合规梳理，最终触发监管处罚，先看两个近期官方通报的真实典型案例：

案例1：智慧校园违规收集人脸信息，企业+学校双双被罚

近期，怀化市网信部门对一家企业及九所学校违法收集使用人脸等个人信息的行为进行立案查处。

经查，某云科技有限公司在推广使用其“智慧校园系统”时，未经学生或家长单独同意收集学生姓名、人脸图像等个人信息，且未对相关个人信息进行加密存储，相关系统存在未授权访问漏洞。怀化市网信办依据《中华人民共和国个人信息保护法》对其作出行政警告处罚，并责令整改。第一中学等9所学校在使用该“智慧校园系统”时，将学生姓名、人脸图像、教师信息、家长联系方式等数据，在未经过本人及监护人同意的情况下，违规提供给该云科技有限公司。属地县级网信部门依据《个人信息保护法》，对上述9所学校处以警告的行政处罚，并要求立即撤回相关个人信息。

案例2：企业APP超范围采集敏感个人信息，被警方行政处罚

近日，青岛市公安局李沧分局网安大队在网络安全检查中发现，辖区某企业发布的APP存在超范围采集个人信息、未履行个人信息保护义务的违法行为。

经调查，该公司违规采集了用户敏感个人信息3000余条，超范围收集行为未取得用户有效同意，也未落实数据安全保护措施，相关信息极易被不法分子入侵、窃取，产生次生危害。李沧公安分局依法对涉事企业予以行政处罚，并责令整改。

核心教训：无论是企业还是学校等单位，若没有清晰的收集清单，就会出现“收集前未核验必要性、收集时未取得合法同意、收集后未落实安全保护”的问题，一旦触碰监管红线，不仅面临处罚，还需承担数据泄露、侵权的法律风险，而数据收集清单能从源头规避这类问题。

三、数据收集清单核心字段+逐字段精讲（附实操案例）

一份合规有效的数据收集清单，必须包含8大核心字段，每个字段都有明确的填写要求，结合智慧校园、企业APP场景逐一拆解：

关键实操提醒（律师必看）

1. “是否必要”是核心判断标准：只要缺少该数据，功能仍能正常使用，就必须判定为“非必要”，立即停止收集；
​
2. 敏感个人信息需单独标注：一旦涉及人脸、手机号、金融信息等敏感数据，必须额外核查是否取得单独同意，是否开展PIA评估；
​
3. 清单需动态更新：业务功能新增、删减或合作方变更时，同步更新清单，避免出现“清单与实际收集不一致”的情况；
​
4. 第三方数据共享需核验：向第三方提供个人信息前，需在清单中明确共享场景、用途，确保取得合法授权。

四、完整可套用模板（直接复制使用）

数据收集合规清单

企业/单位名称：XXX有限公司/XXX学校
更新日期：XXXX年XX月XX日
核查人：陈佳律师

五、律师实操总结

数据收集清单看似简单，却是数据合规的基础工程，它能帮企业、单位清晰梳理数据收集全流程，精准识别违规收集、超范围采集、未获同意等核心风险，也是律师开展合规审查、应对监管核查的核心依据。

做清单的核心，就是坚守最小必要、合法正当、知情同意、安全保护四大原则，不搞形式主义，每一项数据收集都有迹可循、有法可依，从源头避免案例中的处罚风险。

下一篇，我将深度拆解第二款工具《隐私政策与授权界面对照表》，同样结合官方案例+实操模板，教大家如何核查隐私政策与实际授权界面的一致性，规避“告知不实、强制授权、默认勾选”的合规陷阱。

我是陈佳律师，专注数据合规实务，关注我，系统学习合规工具，轻松落地数据合规。