ANDROID_ID是否受隐私法规约束？能否合规追踪设备？

一、ANDROID_ID是否属于GDPR界定的个人可识别数据（PII） #

• 按照GDPR的定义，**个人可识别数据（PII）**是指能直接或间接识别特定自然人的信息。单独的ANDROID_ID作为设备级标识符，本身通常无法直接定位到具体个人，但如果将其与用户账号信息、应用使用记录、地理位置数据等其他信息结合，能够关联到特定自然人时，就会被GDPR认定为PII。
• 欧盟数据保护委员会（EDPB）的相关指引明确，设备标识符若可通过关联其他信息识别到个人，就属于受GDPR监管的个人数据。因此ANDROID_ID的属性并非绝对，取决于它的使用场景和配套的其他数据。

二、能否使用ANDROID_ID追踪唯一设备而不违反隐私法规 #

是否合规需要结合使用场景和GDPR核心要求判断：

• 合规场景：
  • 若仅用于应用内部的必要功能（比如保存用户个性化设置、识别已授权设备以避免重复验证），且满足以下条件则合规：
    1. 有合法的处理依据（如用户明确同意、为履行与用户的合同所必需、基于合法利益且未侵害用户隐私权利）；
    2. 在隐私政策中明确告知用户ANDROID_ID的使用目的、范围和存储周期；
    3. 遵循数据最小化原则，仅收集和使用必要的ANDROID_ID相关数据，不进行跨应用或跨平台追踪。
• 不合规场景：
  • 若将ANDROID_ID用于跨应用追踪用户行为、定向广告推送，且未获得用户明确同意，或未在隐私政策中充分告知，会违反GDPR的透明度和用户同意要求。
  • 此外，若未采取加密存储等必要安全措施保护ANDROID_ID，导致数据泄露，也会违反GDPR的数据安全义务。

另外需要注意，ANDROID_ID并非稳定的长期追踪标识符——设备恢复出厂设置、更换系统ROM、部分系统更新都可能导致其变更，从技术角度看也并非理想的长期追踪方案。

内容的提问来源于stack exchange，提问作者Naruto26