国家网信办网络法治局负责人尤雪云在国务院政策例行吹风会上介绍，《中华人民共和国消费者权益保护法实施条例》第 23 条明确了经营者保护消费者个人信息的义务，规定经营者不得过度收集消费者个人信息，不得通过一次概括授权、默认授权等方式强制或变相强制消费者同意收集与经营活动无直接关系的个人信息。尤雪云以网购为例，说明了必要个人信息的范围，如注册用户的手机号、收货人姓名和地址、联系电话、支付时间、支付金额、支付渠道等，超出这些范围的信息收集，如人脸识别，即属于过度收集。