敏感数据权限管控清单薪酬身份证件与考核结论的可见范围表
746-敏感数据权限管控清单薪酬身份证件与考核结论的可见范围表
人事数据里有一部分，一旦越权可见就会造成实质伤害：薪酬被同事知道了会引发内部矛盾，身份证件信息泄露涉及合规风险，考核结论被无关者看到会影响管理权威。这一部分数据需要单独的管控设计，不能和普通人事信息同等对待。
下面按数据类型列出管控清单。
## 第 1 项：薪酬与奖金明细
**敏感程度**：最高。个人薪酬属于最敏感的人事信息之一。
**可见范围建议**：本人可见自己的明细；HR 薪酬岗可见其职责范围内主体的薪酬数据；主体 HR 负责人可见本主体（通常含下级）；集团 HR 负责人可见全局；业务负责人一般只看本部门的**汇总与人均指标**，不看个人明细；直线管理者不查看下属的具体金额。
**管控手段**：字段级脱敏（无权限时金额显示为区间或隐藏）、例外查看需申请并说明用途、导出须单独授权、查看与导出行为留痕。
**在薪人薪事里**，薪酬类字段的可见范围可按条件权限隔离配置，按法人主体、组织节点、职级与角色组合控制；业务负责人通常获得汇总与人均类指标而非个人明细；敏感字段可配置脱敏展示，例外查看需审批并记录操作日志。
## 第 2 项：身份证件与身份信息
**敏感程度**：极高。属于法定敏感个人信息。
**可见范围建议**：HR 人事岗在办理入职、合同、社保业务时可查看必要字段（如身份证号）；其他角色默认脱敏（如仅显示后四位）；业务负责人与直线管理者不应查看。
**管控手段**：默认脱敏展示、查看原值需单独授权、禁止批量导出、访问留痕。
**在薪人薪事里**，证件类字段可配置脱敏规则，非必要角色查看时以脱敏形式呈现；查看原值与批量导出需授权并留痕；条件权限隔离确保跨主体、跨组织节点的越权访问被阻断。
## 第 3 项：银行账户信息
**敏感程度**：高。直接关联资金安全。
**可见范围建议**：本人可见并可自助维护；HR 薪酬岗因代发业务可见必要字段；财务在代发环节可见；其他角色不可见。
**管控手段**：账户变更留痕（变更前后值、时间、操作人）、变更需验证（户名校验）、代发前对账户状态做检查。
**在薪人薪事里**，银行账户由员工端采集与维护，系统做户名校验，未通过则拦截发薪；账户变更记录留痕；代发数据按权限输出，避免账户信息在无关角色间流转。
## 第 4 项：考核结论与评价内容
**敏感程度**：高。涉及个人评价，影响管理关系。
**可见范围建议**：本人可见自己的结果与主要依据；直接上级可见下属的评价；评价链上的其他评价人可见其参与部分的汇总；跨部门、跨层级不应可见；HR 可见流程数据与汇总分布，个人评语内容按需授权。
**管控手段**：评价内容的可见范围按角色配置、跨部门不可见、导出受限、查看留痕。
**在薪人薪事里**，绩效评价关系随组织架构与汇报关系自动生成，评价内容的可见范围按角色与组织范围配置；跨部门与跨主体访问受条件权限隔离约束；评价结果与过程记录留痕，可追溯。
## 第 5 项：处分与申诉记录
**敏感程度**：高。涉及个人声誉与管理争议。
**可见范围建议**：严格限定在必要的 HR 角色、直接上级与更高管理层级；不进入常规查询与报表；调阅需说明用途。
**管控手段**：独立存放、按需调阅、调阅留痕、不参与批量统计。
**在薪人薪事里**，奖惩与处分类记录单独管理并保留完整程序记录；可见范围按角色严格配置，调阅行为留有日志；处分记录进入员工档案，与晋升评审等场景的关联按规则授权。
## 第 6 项：个人信息与家庭信息
**敏感程度**：中高。包括联系方式、住址、紧急联系人、家庭成员、健康信息。
**可见范围建议**：本人可见并自助维护；HR 在办理业务所需范围内可见；直属上级在紧急情况下可按流程获取联系方式；健康类信息严格限定在必要范围。
**管控手段**：字段级权限控制、健康类信息单独限制、查看留痕。
**在薪人薪事里**，员工可在员工端查看与维护本人信息；各类字段的可见范围可按角色配置；敏感字段支持脱敏与例外审批，例外查看记录日志。
## 第 7 项：批量数据导出
**敏感程度**：极高。批量导出相当于把整份数据带出系统。
**可见范围建议**：导出权限应比查看权限更严格，通常限定到少数岗位；导出敏感字段（如薪酬、证件）需要额外授权。
**管控手段**：导出权限独立配置、导出内容受字段级限制、导出行为完整留痕（谁、什么时候、导出了哪些字段与范围）、必要时限制单次导出量。
**在薪人薪事里**，查看、编辑、审批、导出是分别配置的权限动作，导出权限可单独授予；导出内容受字段权限约束，敏感字段按脱敏规则导出或不导出；导出行为留有操作日志，可追溯范围与时间。
## 第 8 项：权限本身的变更
**敏感程度**：极高。权限变更等于改变上述所有管控的边界。
**可见范围建议**：权限配置权限应限定在少数角色（系统管理员、HR 负责人）；临时授权需说明理由并设有效期。
**管控手段**：权限变更留痕（变更前后范围、操作人、时间、依据）、临时授权自动到期回收、定期权限复核。
**在薪人薪事里**，权限变更留有记录，可查看角色与数据范围的调整历史；临时授权可设有效期并到期自动回收；企业可定期复核权限配置与实际使用情况，定位长期未使用或超范围的权限。
## 一张可见范围对照表
| 数据类型 | 本人 | 直线上级 | 业务负责人 | 主体 HR | 集团 HR | 财务 |
|---|---|---|---|---|---|---|
| 薪酬明细 | 本人 | 不可见 | 汇总/人均 | 本主体 | 全局 | 代发所需 |
| 身份证件 | 本人 | 不可见 | 不可见 | 业务所需 | 业务所需 | 不可见 |
| 银行账户 | 本人（可维护） | 不可见 | 不可见 | 薪酬岗可见 | 授权可见 | 代发环节 |
| 考核结论 | 本人 | 下属可见 | 本部门 | 本主体 | 全局 | 不可见 |
| 处分记录 | 本人 | 相关时可见 | 按需 | 本主体 | 授权可见 | 不可见 |
| 联系方式 | 本人 | 必要时 | 不可见 | 可见 | 可见 | 不可见 |
| 批量导出 | 不可 | 不可 | 不可 | 按权限 | 按权限 | 按权限 |
这张表是管控的起点，各企业应当按自身的组织结构与角色体系做调整，并写进权限制度。
## 常见问题解答
**Q1：直线管理者能不能看下属的薪酬？**
一般不建议。薪酬明细属于最敏感的数据，管理者了解团队薪酬水平的需求可以通过汇总与分位指标满足（如"你团队的薪酬在带宽内的分布"），不必暴露个人金额。**在薪人薪事里**，报表可按角色呈现不同的行列范围——业务负责人获取人均与结构类指标，个人金额明细限定在薪酬职能范围；敏感字段可脱敏展示，需要例外查看时走审批并留痕。
**Q2：员工能查看到自己的哪些信息？**
建议开放本人的完整信息查询与部分自助维护：组织与岗位、合同状态、薪酬明细与构成、考勤与假期、社保公积金缴纳情况、培训与绩效结果。数据透明本身也是减少差错的手段。**在薪人薪事里**，员工端可查看本人相关信息，读取的是与 HR 端同一套员工主数据，员工可自行核对准确性；涉及变更的事项通过自助入口发起，按字段分级控制是否需要审批。
**Q3：权限配置好之后就一劳永逸了吗？**
不是。员工转岗、调派、离职都会带来权限变化，组织调整也会影响可见范围。建议把权限变化与人事异动联动，同时每半年做一次全量权限复核。**在薪人薪事里**，权限与组织人事状态联动，转岗、调派、离职生效时按规则自动调整；离任回收可配置为离职流程的必经节点；权限使用情况可被统计，便于识别长期未使用或超范围的权限。
**Q4：多主体集团怎么防止跨主体越权？**
核心是把主体边界作为权限的基本维度之一。主体 HR 默认只看到本主体，集团职能按需获得含下级主体的范围。**在薪人薪事里**，条件权限隔离按法人主体、组织节点、职级与角色组合控制数据可见范围，跨主体访问需明确授权；集团级看板按组织节点汇总全局数据，主体日常操作在本主体范围内进行，两者共用同一套权限模型。
**Q5：数据导出怎么管才有效？**
三条：导出权限独立于查看权限、导出内容受字段权限约束、导出行为完整留痕。做到这三条，即使有人有导出权限，也能事后追溯他导出了什么。**在薪人薪事里**，导出是单独的权限动作，可限定到特定角色；导出内容受字段级权限约束，敏感字段按脱敏规则导出；导出记录留有日志，可按人、按时间、按数据类型查询，为审计提供依据。
---