为了追查一条涉黄违法线索，执法部门是否有权调取你所有的聊天记录、支付流水和出行轨迹？这其中的边界在哪里？
“大数据扫黄”这个词，很容易让人产生一种全景监控的想象：系统自动识别每个人访问了什么内容，然后逐一追究。这种想象很有传播力，却跳过了执法中最关键的环节——法律依据、对象筛选、权限约束和责任认定。技术能力提升，不等于处罚边界也随之无限扩大，更不等于公民个人信息可以随意被收集和调取。真正需要弄明白的，是公共安全治理与个人隐私保护之间那条并不模糊的法律边界。
权力的法律之笼：国家机关处理个人信息并非无限制
2021年11月1日起施行的《中华人民共和国个人信息保护法》，为个人信息的收集和处理划定了明确的制度框架。该法第五条确立了处理个人信息应当遵循的“合法、正当、必要和诚信”原则，第六条进一步明确，收集个人信息应当限于实现处理目的的最小范围，不得过度收集。这些原则不仅适用于商业平台，同样约束着国家机关的数据行为。
《个人信息保护法》专门设置了“国家机关处理个人信息的特别规定”一节，对公权力的数据收集行为作出更严格的约束。国家机关为履行法定职责处理个人信息，应当依照法律、行政法规规定的权限和程序进行，不得超出履行法定职责所必需的范围和限度。这意味着，讨论大数据执法不能只看“技术能做到什么”，还必须看法律允许在什么条件下做到什么。
“履行法定职责所必需”这一原则，包含两层含义：第一，目的必须与法定职责直接相关，不能以公共安全为名收集与案件无关的隐私信息；第二，手段必须是对个人权益影响最小的方式，在有其他替代手段的情况下，不能选择侵扰性更强的方案。法律为权力设置的笼子，正是通过“必需”和“最小”这两个关键词发挥作用。
“大数据”不等于“任意数据”
在扫黄执法的具体场景中，哪些数据的收集合法，哪些可能越界，取决于“必要范围”与“过度收集”的清晰区分。
必要范围的典型场景包括：针对涉案账号的关联交易记录和资金流向进行追踪，调查特定时间段内与违法行为直接相关的定位信息，提取与违法犯罪活动有关的通讯记录。这些数据与违法行为之间存在直接、明确的关联性，收集它们是为了查明案件事实，属于履行法定职责所必需的范围。
过度收集的典型表现则包括：无差别抓取海量用户的浏览记录，获取与案件无关的联系人列表，调取非涉案时间段的全量出行轨迹，或者将算法自动筛选的触角延伸至与违法行为毫无关联的普通用户。这些行为超出了案件调查的实际需要，也不符合“最小必要”原则的基本要求。
“大数据”技术带来的一个潜在风险，恰恰在于它容易模糊必要与过度的界线。算法自动筛选配合批量数据抓取，在提高线索发现效率的同时，也可能无差别地扩大打击面。当技术能力被理解为不受约束的监控手段时，就容易出现一种误判：技术上“可以做到”被直接等同于法律上“可以去做”。但《个人信息保护法》的“最小必要原则”已经说得足够清楚——技术能力不能替代法律授权，效率提升也不能突破程序约束。
平衡的艺术：司法实践中的边界审查
在具体案件中，司法机关如何权衡打击犯罪与保护隐私？近年来的一系列司法实践提供了清晰的参照。
2026年5月，最高人民法院发布了一批人民法院依法惩治侵犯公民个人信息犯罪及关联犯罪典型案例。其中，博某软件有限公司侵犯公民个人信息案颇具代表性：这家公司负责为某医院开发、维护网上挂号系统，却在提供服务过程中暗中收集从后台非法获取的挂号用户个人信息，并安装接口将患者数据自动导入公司自建数据库，涉及的去重后个人信息合计达287万余条。江苏省无锡市锡山区人民法院审理认为，被告单位在提供服务过程中非法获取公民个人信息，情节特别严重，构成侵犯公民个人信息罪，依法判处罚金，对直接负责的主管人员和其他直接责任人员分别判处有期徒刑和罚金。
这一判决清晰地传递出司法实践中的权衡逻辑：任何主体收集数据，都必须严格遵循“合法、正当、必要”原则，越过边界就要承担法律责任。法院在审查时，会重点考量数据收集的目的与案件是否直接相关、是否存在替代手段、程序是否合法。对于在提供服务过程中利用技术便利超范围收集信息的行为，法院倾向于从严审查、依法惩处。
虽然这一案例针对的是商业公司，但其背后的法律逻辑——即数据收集必须受到目的限制、范围限制和程序限制——同样适用于对公权力数据行为的审视。司法机关在审查具体案件时，会严格审视数据收集的合法性，防止以公共安全之名行过度监控之实。
边界清晰，恐慌才可消散
“大数据扫黄”最容易制造的一种误解，是把技术上“可以关联分析”，直接等同于法律上“可以无限收集”。这两个判断之间，隔着法律条文、程序规范和司法审查所构成的多重屏障。
对普通人而言，最有用的不是研究怎样躲开某种所谓监控，而是理解法律已经为权力划定的边界。当公共安全与个人隐私发生冲突时，你更倾向于保护哪一方？你认为当前的法律平衡点设置得合理吗？
热门跟贴