上海某金融科技App超范围收集并无限期存储用户通讯录和精确定位信息案

【案件背景】
2023年11月，上海市网信办在个人信息保护专项执法检查中发现，某金融科技公司运营的借贷类App在用户注册和使用过程中，强制收集用户通讯录、通话记录、精确定位信息等与借贷业务无直接关联的个人信息，并且对这些数据实行无限期存储，从未设定存储期限或自动删除机制。该公司累计服务超过500万用户，其中包含大量已注销账户用户的数据仍被完整保留。

【违法事实】
经上海市网信办调查认定：一是违反最小必要原则收集信息——该App主要业务为小额借贷，核心风险评估所需的信息应为身份信息和信用记录，但该App在用户注册时即强制要求授权访问通讯录和通话记录，并在使用过程中持续采集用户精确定位信息，远超业务必要范围，违反了《个人信息保护法》第6条的要求；二是违反存储期限最小化要求——《个人信息保护法》第19条规定个人信息的保存期限应当为实现处理目的所必要的最短时间，但调查发现该企业对超过两年的已注销用户数据仍完整保留在数据库中，未建立任何基于时间或业务必要性的自动删除或匿名化机制；三是违反用户注销后删除义务——用户注销后信息处理的基础已不存在，依法应立即删除个人信息，但企业未建立注销后的数据自动删除流程。

【处罚决定】
上海市网信办依据《个人信息保护法》第66条，对该金融科技公司处以人民币400万元罚款，责令在30天内完成对所有已注销用户数据的彻底清除，建立个人信息分级分类存储和到期自动删除机制。

【典型意义】
本案首次系统性地适用了'收集最小必要+存储最短期+注销即删除'三重原则。一是明确了信息处理的全生命周期均需遵守比例原则，从收集、存储到删除环环相扣；二是存储期限的'必要性'需要有客观的业务依据，不能以'可能有用'为由无限期存储；三是注销是删除的起点而非终点——用户注销后必须在合理期限内完成实质性数据清除。