Privacy & AI Compliance: 解释数据最小化与目的限制原则。

Core Concept: 只收集达成目的所必需的数据、只用于声明的目的、只保留必要期限；这是 GDPR 等法规的核心原则，也从根本上降低泄露与滥用风险。

数学机理：<strong>核心原则（GDPR 第 5 条）</strong>——(1) <strong>数据最小化（data minimization）</strong>——(a) <strong>要求</strong>——收集的数据'充分、相关、限于处理目的所必需'；(b) <strong>反面</strong>——'先全量采集，以后再想用途'（数据囤积）；(c) <strong>收益</strong>——(i) 减少泄露时的暴露面；(ii) 降低合规与存储成本；(iii) 减少滥用与偏见风险。(2) <strong>目的限制（purpose limitation）</strong>——(a) <strong>要求</strong>——为特定、明确、合法的目的收集，不得以与目的不符的方式进一步处理；(b) <strong>新用途</strong>——需重新评估法律依据（同意/合同/合法利益）；(c) <strong>工程</strong>——给数据打<strong>目的标签</strong>，访问时校验用途。(3) <strong>存储限制（storage limitation）</strong>——(a) 保留期限届满即删除或匿名化；(b) <strong>TTL</strong> 与自动清理；(c) 例外——为公共利益/科学/历史研究可延长（需保障）。(4) <strong>准确性（accuracy）</strong>——数据需准确、及时更新；不准确数据需更正或删除。(5) <strong>完整性与保密性</strong>——安全措施（加密、访问控制）。(6) <strong>问责（accountability）</strong>——组织需能证明合规（记录、审计、DPIA）。(7) <strong>工程落地</strong>——(a) <strong>字段级访问控制</strong>——不同角色可见字段不同；(b) <strong>目的标签</strong>——数据附用途元数据；(c) <strong>同意管理平台（CMP）</strong>——记录用户同意与撤回；(d) <strong>TTL 与自动清理</strong>——到期自动删除/匿名化；(e) <strong>数据血缘</strong>——追踪数据来源与用途；(f) <strong>隐私设计（privacy by design）</strong>——在系统设计阶段就考虑。(8) <strong>权衡</strong>——(a) <strong>数据最小化 vs 模型效果</strong>——更多数据可能提升效果，但需证明必要性与法律依据；(b) <strong>实践</strong>——用聚合/统计量替代原始数据、用合成数据、用 DP；(c) <strong>最小化不等于最少</strong>——是'与目的相称'。(9) <strong>与相关原则的关系</strong>——(a) 与 PII 脱敏（最小化的技术手段之一）；(b) 与差分隐私（更严格的隐私保证）；(c) 与合规审计（证明最小化）。<strong>与其他问题的关系</strong>——(a) 与 PII 处理；(b) 与隐私保护技术（DP/联邦学习）；(c) 与合规审计与模型治理；(d) 与数据管道（TTL 与清理）。<strong>度量</strong>——(a) 收集字段数与目的必需字段数的比值；(b) 保留超期数据量；(c) 同意记录完整率；(d) DPIA 覆盖率。

深度剖析与工程权衡：① <strong>数据最小化从根本上降低风险</strong>——不收集就不会泄露；面试中能指出这点是深度理解的标志。② <strong>目的限制需工程化落地</strong>——给数据打目的标签并校验用途。③ <strong>存储限制需 TTL 与自动清理</strong>——否则数据永久堆积。④ <strong>最小化与模型效果需权衡</strong>——用聚合/合成/DP 替代原始数据。⑤ <strong>问责要求可证明</strong>——需记录与审计。⑥ <strong>隐私设计应前置</strong>——在系统设计阶段考虑。⑦ <strong>面试要点</strong>——被问怎么设计合规的数据处理，应给出'<strong>最小化（限于必需）+ 目的限制（标签与校验）+ 存储限制（TTL 与清理）+ 准确性 + 安全 + 问责（DPIA/记录）</strong>'；能指出'不收集就不会泄露'与目的标签工程化是深度理解的标志。