children-data-minimization

儿童数据最小化与保留期限

概述

对儿童数据进行最小化处理时，必须比成人场景更严格地解释 GDPR 第 5(1)(c) 条（“充分、相关且限于必要范围”）。序言 38 指出，儿童的个人数据应受到特别保护，因为他们可能不太了解相关风险、后果和保障措施，也不太了解自身与个人数据处理相关的权利。英国《适龄设计规范》第 8 项明确要求，服务仅收集和保留“提供儿童积极且知情参与的服务内容所需的最低限度个人数据”。COPPA 第 312.7 条禁止以收集超出合理必要范围的个人信息作为儿童参与活动的条件。本技能提供了一套全面框架，用于落实这些更严格的标准。

法律框架

GDPR 第 5(1)(c) 条 — 数据最小化原则

“个人数据应当充分、相关，且限于实现其处理目的所必需的范围。”

应用于儿童数据时，“必要”一词应作严格解释。欧洲数据保护委员会已确认，儿童作为数据主体具有脆弱性（WP248rev.01 标准 7），因此数据最小化义务更为严格。

GDPR 第 5(1)(e) 条 — 存储期限限制原则

“个人数据的保存形式应确保对数据主体的识别时间不超过实现个人数据处理目的所需的时间。”

考虑到以下因素，儿童数据的保留期限应短于成人数据：（a）处理目的对儿童往往较快失去效用（例如，特定年级的学习进度）；（b）数据暴露造成伤害的风险会随着保留时间延长而增加；（c）儿童可能并未在充分理解的情况下同意长期保留数据。

GDPR 序言 38 — 对儿童的特别保护

“儿童的个人数据应受到特别保护，因为他们可能不太了解相关风险、后果和保障措施，也不太了解自身与个人数据处理相关的权利。此类特别保护尤其应适用于将儿童个人数据用于营销或创建个性或用户画像，以及在儿童使用直接面向儿童提供的服务时收集其个人数据的情况。”

英国《适龄设计规范》第 8 项 — 数据最小化

“仅收集和保留提供服务中儿童积极且知情参与的内容所需的最低限度个人数据。应让儿童分别选择要启用哪些内容。”

ICO 的关键解释：

• “积极且知情参与”是指儿童有意使用某项具体功能，而非通过后台收集被动产生数据
• “分别选择”是指儿童应能使用核心服务功能，而不必被迫启用数据密集型可选功能
• 除非儿童主动触发需要相关数据的功能，否则不得在后台收集数据（位置、麦克风、联系人、陀螺仪）

COPPA 第 312.7 条 — 数据最小化

“运营者不得以儿童披露超出合理参与某项活动所需范围的个人信息，作为儿童参与游戏、提供奖品或其他活动的条件。”

严格必要性测试

对于从儿童处收集的每项数据，控制者都必须进行严格必要性测试——这项评估比针对成人数据采用的标准比例性评估要求更高。

测试问题

#	问题	通过标准
1	对于孩子正在使用的特定功能，此数据元素是否必不可少？	没有此特定数据元素，该功能就无法运行
2	该功能能否使用精度较低的数据？	不存在粒度更低的替代方案（例如，使用年龄范围而非确切出生日期，使用城市而非精确位置）
3	该功能能否使用匿名化或假名化数据？	匿名化或假名化会导致该功能无法运行
4	收集此数据元素是为了孩子的利益，还是控制者的利益？	主要受益者必须是孩子；仅对控制者有利并不足够
5	理性的家长是否会预期此功能会收集这些数据？	数据收集符合家长对该服务的预期
6	数据是否仅在该功能处于活动使用期间保留？	功能会话结束或最短的合理保留期限到期后，数据即被删除

常见数据类别的应用

数据类别	典型理由	严格必要性评估结果
全名	账户识别	将数据缩减为名字或用户名。仅在家长验证时才需要完整法定姓名。
确切出生日期	年龄验证	为年龄门槛验证而收集，之后仅保留年龄段（例如，“10-12”）或布尔值“是否低于门槛”。除非法律要求，否则不要保留确切出生日期。
电子邮箱地址	账户恢复、通知	对于低于适用同意年龄门槛的孩子，仅收集家长的电子邮箱。只有孩子超过同意年龄门槛时，才能收集孩子的电子邮箱。
精确地理位置	内容本地化	从 IP 推导出的国家或地区级位置足以用于本地化。除非某项功能确有需要（例如，紧急位置服务），且由孩子主动触发，否则绝不收集孩子的精确 GPS 位置。
设备标识符（IDFA、GAID）	分析、广告	绝不为广告而收集。仅在收集时即进行匿名化的情况下，才可为分析而收集。改用基于会话或第一方的标识符。
照片/视频/音频	头像、内容创作	个人资料：使用预设头像，不允许上传照片。内容创作：在会话中处理，除非孩子明确保存，否则不要在服务器端存储。会话结束时删除。
浏览历史	个性化	不为孩子保留浏览历史。使用仅限会话的上下文进行推荐。
联系人列表	社交功能	绝不访问或上传孩子的联系人列表。改用邀请码或用户名。
购买历史	交易记录	仅为符合法律规定（税务、消费者保护）而保留。将数据缩减为交易 ID 和金额，不保留商品详情。

保留期限框架

儿童数据的保留期限必须短于成人数据。以下框架为常见类别规定了最长保留期限。

保留期限

数据类别	最长保留期限	理由	删除方式
年龄验证数据（出生日期、验证结果）	账户存续期间 + 30 天	维持适龄体验所必需	账户删除后 30 天自动清除
账户数据（姓名、用户名、家长邮箱）	账户存续期间 + 30 天	提供服务和履行家长监督所必需	账户删除后 30 天自动清除
学习／活动进度	账户存续期间或学年，以较短者为准	学习期结束后，教育目的即告终止	由家长触发或在学年末自动删除
会话数据（浏览的页面、使用的功能）	30 天	服务改进分析	滚动式自动删除，保留 30 天
儿童创建的内容（绘画、文本、项目）	账户存续期间	由儿童创建，供其本人使用	账户删除时返还给家长／儿童
通信数据（平台内的消息）	90 天	安全审核和防止滥用	滚动式自动删除，保留 90 天
错误／崩溃日志	7 天	技术调试	滚动式自动删除，保留 7 天
家长同意记录	账户存续期间 + 6 年	法律合规（GDPR 索赔的诉讼时效）	账户删除 6 年后自动清除
家长验证数据（信用卡、身份证件）	保留验证结果；在 48 小时内删除原始文件	验证目的立即达成	立即删除原始文件；保留结果标记

学年末删除

对于教育平台，学年末是数据生命周期中一个自然的里程碑。BrightPath Learning 实施以下年末流程：

1. 学年结束前 30 天：家长会收到通知，告知学习数据将被归档
2. 学年结束时：将学习进度数据导出为家长可下载的报告（PDF）
3. 学年结束后 14 天：如果家长未要求保留数据，则删除详细活动数据；仅保留汇总进度分数，用于下一年的分班
4. 学年结束后 60 天：删除汇总分数，除非儿童继续使用下一年的服务

家长控制面板设计

家长控制面板是家长监督和控制儿童数据的主要机制。它必须提供有意义的透明度和可实际操作的控制选项。

控制面板必备功能

功能	说明	GDPR 依据
数据清单	按类别直观展示持有的所有儿童个人数据	第 15 条（访问权，由家长依据第 8 条行使）
用途说明	针对每类数据，显示具体用途和合法依据	第 13(1)(c) 条透明度要求
同意控制	按用途设置开关，以授予或撤回同意	第 7(3) 条撤回机制
数据下载	一键以机器可读格式（JSON、CSV）导出儿童的所有数据	第 20 条可携权（由家长行使）
数据删除	一键删除账户和数据，并要求确认	第 17 条删除权（由家长行使）
活动日志	汇总儿童近期在平台上的活动（使用的功能、花费的时间）	AADC 标准 11（家长控制）
隐私设置	控制个人资料可见性、数据共享和通信功能	AADC 标准 7（默认设置）
通知偏好设置	控制儿童会收到哪些通知	AADC 标准 13（助推技术）
儿童年龄显示	显示儿童当前年龄，以及其达到下一个年龄门槛的日期	AADC 标准 3（适龄应用）

BrightPath Learning — 控制面板实现

┌─────────────────────────────────────────────────────────┐
│  BrightPath Learning — Parent Dashboard                 │
│  Child: Alex (Age 11, France — threshold: 15)           │
│  Account created: 2025-09-01                            │
│  Next age review: 2026-09-01 (age 12)                   │
├─────────────────────────────────────────────────────────┤
│                                                         │
│  DATA WE HOLD                                           │
│  ┌──────────────────┬─────────────────┬──────────────┐  │
│  │ Category         │ Purpose         │ Status       │  │
│  ├──────────────────┼─────────────────┼──────────────┤  │
│  │ First name       │ Account ID      │ Required     │  │
│  │ Age band (10-12) │ Content level   │ Required     │  │
│  │ Learning scores  │ Progress track  │ ✓ Consented  │  │
│  │ Game activity    │ Recommendations │ ✗ Not active │  │
│  └──────────────────┴─────────────────┴──────────────┘  │
│                                                         │
│  PRIVACY CONTROLS                                       │
│  [✓] Share progress reports with me (parent)            │
│  [ ] Allow content-based recommendations                │
│  [✓] Show learning badges on Alex's profile             │
│                                                         │
│  ACTIONS                                                │
│  [Download Alex's data]  [Delete Alex's account]        │
│  [View activity log]     [Contact DPO]                  │
│                                                         │
│  ACTIVITY THIS WEEK                                     │
│  Mon: 25 min — Maths Level 3                            │
│  Tue: 30 min — Reading Comprehension                    │
│  Wed: 15 min — Science Quiz                             │
│  Total: 1h 10min                                        │
│                                                         │
│  Alex will reach the French consent threshold (15)      │
│  on approximately 2029-06-15. At that point, consent    │
│  authority will transfer to Alex.                       │
└─────────────────────────────────────────────────────────┘

自动删除实施

技术架构

1. 保留期限元数据：每条数据记录都包含一个 retention_category 字段（映射到保留期限计划）和一个 expires_at 时间戳
2. 删除调度程序：每日批处理作业会识别所有 expires_at < current_timestamp 的记录并执行删除
3. 级联删除：删除账户会触发对所有相关表的级联删除（活动日志、内容、通信记录、同意记录；这些记录仍须遵循各自的保留期限计划）
4. 删除验证：删除后审计会确认记录已从主存储、备份系统和所有缓存中移除
5. 备份清除：包含儿童数据的备份最多保留 30 天。备份恢复流程包含重新删除已过期儿童数据的步骤。

删除日志记录

每次删除事件都会记录在日志中，以便追责：

{
  "deletion_id": "DEL-2026-0047821",
  "trigger": "automated_retention_expiry",
  "data_category": "session_data",
  "child_identifier": "child_bp_8f3a2d",
  "records_deleted": 847,
  "deletion_timestamp": "2026-03-14T02:00:00Z",
  "deletion_scope": "primary_database, elasticsearch_index, redis_cache",
  "backup_purge_scheduled": "2026-04-13T02:00:00Z",
  "verified_by": "automated_verification_check"
}

常见合规失败

1. 与成人同等的保留期限：对儿童数据采用与成人数据相同的保留期限，且未说明为何无法采用更短的期限
2. 收到删除请求前无限期保留：除非家长明确请求删除，否则无限期保留儿童数据，违反第 5(1)(e) 条的存储期限限制
3. 后台数据收集：在儿童未主动使用需要相关数据的功能时，于后台收集设备标识符、位置、加速度计或麦克风数据
4. 访问联系人列表：以“查找好友”功能为由请求访问儿童设备的联系人列表，但并无严格必要性
5. 没有家长控制面板：未能向家长提供有效机制，以查看、控制和删除其子女的数据
6. 备份保留漏洞：从生产系统删除数据，却在备份中无限期保留

执法先例

• TikTok（爱尔兰 DPC，2023 年）：3.45 亿欧元罚款，认定其过度收集儿童数据，包括默认公开个人资料，使所有用户都能看到儿童内容，违反第 5(1)(c) 条的数据最小化要求。
• YouTube/Google（FTC，2019 年）：达成 1.7 亿美元和解，原因是为广告目的收集儿童向频道观看者的持久标识符——这些数据对于儿童使用的服务并非必要。
• Epic Games/Fortnite（FTC，2022 年）：因收集超出必要范围的儿童个人信息被罚 2.75 亿美元，其中包括默认启用实时语音通信。

集成点

• GDPR 家长同意：家长同意的范围应限于通过必要性测试证明合理的数据收集——不应要求家长同意不必要的数据收集
• 英国 AADC 实施：AADC 标准 8 是英国儿童数据最小化的主要操作标准
• 儿童画像限制：数据最小化直接限制可用于画像的数据，从而进一步强化 AADC 标准 12 的限制
• 儿童删除请求：保留期限框架明确了有哪些数据需要删除，以及何时自动删除
• EdTech 隐私评估：教育平台必须在数据最小化与合理的教育记录保存需求之间取得平衡