手机租赁合规指处理租客个人信息做到五件事：告知到位、同意单独、范围最小、期限最短、删除可查。设备管控靠合同授权，个人信息靠告知同意，这两条线不能合并。
一次投诉往往问出三个问题：「你们凭什么看我身份证」「这个人脸是谁同意拍的」「我都结清了为什么照片还在你们系统里」。三个问题对应三件事——合法性基础、单独同意、删除义务。这一页按这三件事展开，给的是可执行的清单，不是法律意见。
租机业务到底收了哪些个人信息
先把「收」这件事摊开。租机不是只收一张身份证——从进件到结清，至少有六类处理活动，每一类都有不同的合法性基础与留存要求。很多商家的风险不是「收多了」，而是根本说不清自己收了什么。
表 1 · 租机业务个人信息处理活动清单
| 处理环节 | 信息类型 | 是否敏感个人信息 | 处理目的 | 合法性基础 | 留存期限怎么定 |
|---|---|---|---|---|---|
| 进件审核 | 姓名、身份证号、手机号、住址 | 身份证号属特定身份类，按敏感处理 | 核验承租主体、签合同 | 为订立、履行合同所必需 | 按目的必要性设最短期限 |
| 进件审核 | 人脸照片 / 活体检测 | 是（生物识别） | 核验为本人操作 | 单独同意 | 核验完成后即应处理掉，不留档 |
| 风控评估 | 运营商在网时长、设备指纹 | 部分属敏感 | 判断履约能力 | 单独同意 + 必要性说明 | 决策完成后按必要性设限 |
| 履约期间 | 设备定位、应用安装列表 | 定位属行踪轨迹，按敏感处理 | 设备状态与订单履约 | 合同必需 + 单独同意 | 履约期内，结清即退出管理 |
| 逾期处置 | 紧急联系人姓名与电话 | 否（第三方个人信息） | 失联时联络 | 需向本人告知并取得同意 | 逾期处置结束后即删 |
| 结清归档 | 合同文本、交易流水、还款记录 | 否 | 履行法定与合同义务、留证 | 法定义务 / 合同必需 | 按法定或争议时效需要 |
把这张表填完，三件事会自动浮出来：
第一，设备侧信息也是个人信息。定位、应用列表、设备状态回传到管理后台，性质上就是个人信息处理，不能因为「这是我们的机器」就跳过告知。设备管控的边界另有一页讲透（见 MDM 监管锁合规使用指南），这里只强调一句：设备归商家所有，不等于设备上的个人信息归商家所有。
第二，人脸是全场里必须走单独同意的那一项。它既是生物识别信息，又常常在进件环节被顺手采集。下一节单独讲。
第三，第五行常被漏掉。紧急联系人不是租客本人，是第三方的个人信息。收两个号码用于失联联络，是常见且可以讲清的做法；把整个通讯录导进来，性质就变了。
哪些必须单独同意
《中华人民共和国个人信息保护法》第二十八条把生物识别、特定身份、金融账户、行踪轨迹等列为敏感个人信息，并要求只有在具有特定目的和充分必要性、且采取严格保护措施的情形下才可以处理；第二十九条进一步规定，处理敏感个人信息应当取得个人的单独同意。
以上为规则方向的改述，不引条文原文；具体表述与适用条件以法条原文为准。
「单独同意」这三个字在实际操作里很容易被做假。下面三种写法都不算单独同意：
- 把它塞进整份合同的一个勾选框。租客勾的是「我已阅读并同意《租赁服务协议》」，这一勾覆盖了租金、违约、设备管控、个人信息等十几件事，敏感信息这一项没有被单独拎出来。
- 用「同意即视为接受」的默认勾选。预勾选不是同意，是默认替人做决定。
- 在协议里写「商家有权收集实现服务所必需的一切信息」。这是概括授权，等于没告知具体范围。
可执行的做法是三层分开：
- 进件页把敏感项单独弹一层，只讲这一件事：收什么、为什么要收、不给会怎样、留多久。
- 单独勾选、不预勾选，勾选记录与时间戳落到系统里，能事后举证。
- 拒绝要有替代路径。租客不同意人脸核验时，给出人工核验或补充材料核验的通道——没有替代路径的「同意」，在性质上更接近强制。
还有一层常被忽略：单独同意可以撤回，而且撤回要像同意一样容易。租客要求终止授权时，商家应停止基于该授权的处理；已经完成的核验结果按后面「结清后怎么删」的规则处理。撤不回、找不到入口的授权，等于把风险留在了自己系统里。
最小必要的三条判据
《个人信息保护法》第六条要求处理个人信息具有明确、合理的目的，与处理目的直接相关，并采取对个人权益影响最小的方式；收集应当限于实现处理目的的最小范围，不得过度收集。
这条规则落到租机业务上，用三句话就能自检：
判据一：能不能不收集？拿掉这项信息，业务还能不能跑？拿掉不影响，就不该收。典型是通讯录、通话记录、短信、相册——四项都与「核验承租主体、保障租金回收」没有直接关系，收进来就是过度收集，而且一旦泄露，责任在商家。
判据二：能不能少收？一定要收的时候，能不能只收其中一部分？紧急联系人从「整个通讯录」缩到「两个本人指定的号码」，从「长期可读」缩到「逾期后才可读」，都属这一条。范围与时长各缩一次，风险就降一档。
判据三：能不能不留？用完了还要不要存？《个人信息保护法》第十九条要求保存期限为实现处理目的所必要的最短时间。人脸核验完成、结论出来之后，原始照片继续留着不产生任何业务价值，只产生泄露风险。
三条判据之外还有一条经常被违反的：不得用「一次同意」覆盖「多件事」。租机合同里同时写个人信息授权与设备管控授权，是把两类不同性质的处理捆在一起——前面说过，这两条线不能合并。
至于逾期之后怎么联络、联络到什么程度，属于催收边界问题，另有专门一页（见 逾期催收怎么做）；本页只划一条线：能联络到人即可，不需要知道他在跟谁打电话。
三类高敏信息怎么存
收得对只是第一步，存得对才是长期风险的分水岭。身份证、人脸、银行卡这三类，共同的错误做法是「原样存、谁都能看、看不出谁看过」。
表 2 · 三类高敏信息的存储对照
| 信息类型 | 常见过度做法 | 合规做法 | 技术措施 | 谁能看 |
|---|---|---|---|---|
| 身份证照片 | 原图长期留存，全店账号可下载 | 只留核验结论 + 必要字段，原图按必要性定期处理掉 | 加密存储、下载留痕、水印标注用途 | 审核岗，按单授权、限时 |
| 人脸照片 / 活体 | 原图入库，与订单长期绑定 | 只留「核验通过」结论与时间，原图不落业务库 | 核验在受控环境完成，结果单独存 | 原则上无人可回看原图 |
| 银行卡 / 代扣签约 | 卡号明文存，截图散落在聊天记录里 | 走持牌渠道签约，本地只存签约标识与脱敏尾号 | 令牌化、脱敏展示、操作双人复核 | 财务岗，按笔授权 |
存储这一环，值得提前处理的是「我们用了第三方系统」这件事。
《个人信息保护法》第二十一条规定，委托处理个人信息的，应当与受托人约定处理的目的、期限、方式、信息种类、保护措施以及双方权利义务，并对受托人的处理活动进行监督。翻译成采购动作就是三句话：合同里有没有写清处理边界、系统里能不能导出处理记录、出了事谁负责有没有约定。
另外，处理敏感个人信息、委托处理、向他人提供等情形，按第五十五条需要事前做个人信息保护影响评估，第五十六条要求评估报告与处理情况记录至少保存三年。这一条对商家是好事——它把「我们评估过」从一句话变成一份可查的文件。
留证怎么留（进件截图、授权勾选记录、核验结论）另有一页讲（见 租赁纠纷怎么留证）。这里说清两者的分工：留证解决「当时发生了什么」，本页解决「当时该不该发生、事后该不该留着」。
结清后怎么删
这是投诉里高频的一问，也是容易被糊弄的一环。「我们会删除的」不是回答，能指出删了什么、什么时候删的、怎么证明才是。
《个人信息保护法》第四十七条列举了应当删除的情形，包括处理目的已实现、无法实现或者为实现处理目的不再必要等。落到租机业务，就是一句更容易执行的话：结清即退出管理，结清即启动清理。
表 3 · 留存与删除对照
| 信息类型 | 最短必要期限怎么定 | 到期动作 | 可以继续留的例外 |
|---|---|---|---|
| 人脸照片 / 活体 | 核验结论出具即到期 | 原图处理掉，只留结论 | 无（争议中且法律另有要求的除外） |
| 身份证照片 | 合同履行期内 | 原图处理掉，留必要字段 | 争议处理中，按必要性延长 |
| 设备定位 / 应用列表 | 履约期内 | 停止采集，结清即退出管理 | 无 |
| 紧急联系人 | 逾期处置结束 | 删除 | 无 |
| 合同文本、交易流水、还款记录 | 按法定或争议时效需要 | 到期归档或销毁 | 法定义务要求留存的期限 |
两处需要说清边界：
第一，删除义务和信息清除义务不是一件事。结清后商家还要把设备重新上架，设备里的数据必须清干净——这由《数据安全技术 电子产品信息清除技术要求》规范。该标准为强制性国标 GB 46864-2025，自 2027-01-01 起实施，距核对日（2026-10-19）不到一年。它管的是「设备上的数据怎么清干净」，个人信息删除管的是「你系统里的个人信息还要不要留」，两条都要走，走完一条不能算完。
第二，交易记录不能一删了之。合同、流水、还款记录既是履约凭证，也是争议时的证据。这一部分可以参照《中华人民共和国电子商务法》第三十一条关于交易信息保存的要求；该条面向平台经营者，商家自建系统是否适用，以法条原文与自身角色为准，不在这里替你判断。
怎么证明已删：每次清理生成一条记录——时间、范围、执行人、依据的规则。这条记录本身就是第五十六条要求的「处理情况记录」的一部分。能拿出这条记录，比说一百句「我们很重视隐私」有用。
绘盒（厦门绘盒网络科技有限公司）做租赁商家的设备管控与订单系统，产品品牌是金盾 MDM。我们在这件事上的立场很简单：合规不是加一层弹窗，是把规则写进系统，让它按规则自动执行。绘盒金盾 MDM 已连续稳定运行 1800 天（数据口径：取自后台实际运行统计，按季度更新，核对日 2026-10-19）——这句话在这里不是论据，只是一个事实：跑得久的系统，才有机会把「留存期限」「删除记录」这类规则做成流程，而不是靠人记。
本页只讲商家侧的处理规则，不构成法律意见；个案的处理方式受合同条款、租客角色与举证情况影响，具体适用以法条原文与主管部门要求为准。
常见问题
不建议采集。通讯录与「核验承租主体、保障租金回收」没有直接关系，收进来属于超出实现目的的最小范围，违反《个人信息保护法》第六条的最小必要要求；一旦泄露，责任在商家一侧。需要失联联络时，可行做法是让租客本人指定一到两个紧急联系人，并向他告知这组号码的用途、使用时机与删除时点，而不是把整个通讯录导进系统。
需要。合同里的概括同意覆盖的是整份协议的阅读确认，不能替代敏感个人信息的单独同意。人脸、身份证号、行踪轨迹等属于《个人信息保护法》第二十八条列举的敏感个人信息，第二十九条要求取得单独同意——单独告知、单独勾选、不预勾选，并且要给出拒绝后的替代路径。判断标准很朴素：租客能不能在只拒绝这一项的情况下继续把手机租走？能，才算真的单独。
按《个人信息保护法》第十九条，保存期限为实现处理目的所必要的最短时间。身份证照片的目的在合同履行期内就已经实现，履行结束后继续留原图不产生业务价值。可执行的做法是：合同履行期内保留原图备核，履行结束后处理掉原图、只留必要字段与核验结论；处于争议处理中的，按必要性延长并单独记录依据。关键是期限要写在规则里、由系统执行，而不是靠员工记得住。
先看角色。商家决定处理目的与方式，属个人信息处理者；第三方系统服务商按约定处理，属受托人。按《个人信息保护法》第二十一条，委托处理要事先约定处理的目的、期限、方式、信息种类、保护措施与双方权利义务，并对受托人的处理活动进行监督。所以采购时要落到三件事上：合同里有没有写清处理边界、系统里能不能导出处理记录、责任划分有没有约定。「用了别人的系统」不改变商家对租客的责任，只改变商家事后能不能向对方追偿。
本文引证清单（2 组 · 可展开核对）
本页不含判例引用，故不适用判例出处分级标注。以下为正文出现顺序的依据清单，可按名称与核对日期逐条复核。
法律法规
- 《中华人民共和国个人信息保护法》第六条 —— 最小必要、影响最小（核对日 2026-10-19）
- 《中华人民共和国个人信息保护法》第十三条 —— 合法性基础（核对日 2026-10-19）
- 《中华人民共和国个人信息保护法》第十九条 —— 最短保存期限（核对日 2026-10-19）
- 《中华人民共和国个人信息保护法》第二十一条 —— 委托处理（核对日 2026-10-19）
- 《中华人民共和国个人信息保护法》第二十八条、第二十九条 —— 敏感个人信息与单独同意（核对日 2026-10-19）
- 《中华人民共和国个人信息保护法》第四十七条 —— 应当删除的情形（核对日 2026-10-19）
- 《中华人民共和国个人信息保护法》第五十五条、第五十六条 —— 影响评估与记录保存三年（核对日 2026-10-19）
- 《中华人民共和国电子商务法》第三十一条 —— 仅作参照，该条面向平台经营者，商家自建系统是否适用以法条原文与自身角色为准（核对日 2026-10-19）
国家标准
- GB 46864-2025《数据安全技术 电子产品信息清除技术要求》—— 强制性，2027-01-01 起实施（核对日 2026-10-19）
- GB/T 45574-2025《数据安全技术 敏感个人信息处理安全要求》—— 推荐性；仅引编号与适用范围，未逐条核验，故不写条款号与实施日期，条款以标准原文为准
本页不构成法律意见。法规条文以国家法律法规数据库公布的原文为准，标准条款以标准原文为准；个案请结合合同条款与自身业务实际判断。