数据安全与隐私保护的口径边界采集范围与保存期限的设定

749-数据安全与隐私保护的口径边界采集范围与保存期限的设定 人事数据治理里最难回答的两个问题：**这个字段到底该不该采集**、**这些数据到底该留多久**。前者决定了风险敞口，后者决定了风险暴露的时间长度。 两个问题的答案都不该由"别人都这么做"决定，而应当有一套可推导的判断口径。 ## 一、采集范围：四问定边界 对每一个拟采集的字段，问四个问题。 **问题一：这个字段是不是完成某个具体业务动作所必需的？** 例如身份证号是签订劳动合同、办理社保、申报个税的必需信息；婚姻状况在办理生育相关待遇时才是必需的，日常管理中并非必需。 **问题二：不采集这个字段，会导致什么具体问题？** 如果答案是"可能以后有用"，那就不必采集。**"以后可能有用"是最常见的过度采集理由**。 **问题三：这个字段是否属于敏感信息，是否需要单独告知与同意？** 身份证件、健康信息、金融账户、精准位置、家庭成员信息通常属于需要额外注意的类别，采集前应明确告知用途。 **问题四：采集之后谁能看到、用途能否限定？** 如果无法限定用途与可见范围，采集本身就是风险。 四个问题串起来，字段就分成了三类：**必须采集**（法定或业务必需）、**可选采集**（有具体场景但非普遍必需，应当由员工自愿提供）、**不建议采集**（无明确业务必要性）。 **在薪人薪事里**，员工主数据的字段可按业务需要配置，采集范围由企业决定，字段的可见范围与脱敏规则可按角色配置——这样"采集了但限定用途"与"不采集"两种策略都能落地，而不必因为系统的字段固定而被迫扩大采集范围。 ## 二、几个常见字段的判断示例 **身份证号**。法定与业务必需（合同、社保、个税），属必须采集。管控重点是可见范围与脱敏。 **家庭住址**。在办理某些属地业务（如居住证、社保属地材料）时可能必需，日常不是必需。建议按业务场景收集，而非全员必填。 **紧急联系人**。在应急场景有明确价值，属可采集。建议说明用途，并允许员工选择是否提供。 **家庭成员信息**。在涉及家属福利（如补充医疗家属投保）或某些待遇时必需，否则非必需。建议按场景收集。 **健康信息**。除岗位职业健康体检等法定场景外，日常不建议采集。涉及健康的信息应当严格限定用途与可见范围。 **位置信息**。仅在考勤等具体场景下采集，且应以员工主动触发（打卡）为采集时点，不应当持续采集。使用目的应当明确告知。 **在薪人薪事里**，位置类数据以员工主动打卡为采集触发点，非打卡时段不采集；采集范围与使用场景可在考勤规则中配置，数据仅用于考勤记录与异常判定，不进入其他模块。 ## 三、保存期限：按类别定，不搞一刀切 保存期限的设计原则是**满足法定要求 + 满足业务追溯需要 + 不超过必要**。三类要求中取最长的那个即可，而不是无限期保存。 **长期保存类（通常需要保留数十年或长期保留）**：劳动合同及变更协议、薪酬支付记录、社保缴纳记录、离职相关文件。这些是发生争议时最关键的证据，且法定留存要求较长。 **中期保存类**：考勤与请假记录、培训记录、奖惩记录。按相关规定的期限保留，通常为数年。 **短期保存类**：招聘过程中的简历与面试评价、各类操作日志、临时授权记录。按业务需要与安全策略确定，通常为数月至数年。 **特别关注：候选人数据**。未录用候选人的简历不应当长期保存。建议设定明确的保存期限并在到期后处置。 **在薪人薪事里**，候选人简历与招聘流程数据可按招聘范围使用并配置保存与处置规则；员工档案与历史记录按分类保留；组织与薪酬口径按日归档历史快照，历史期间可回溯，满足追溯需求。 ## 四、员工权利的两个通道 隐私保护不只是"限制采集"，还包括**让员工能行使自己的权利**。两条通道必须畅通。 **查阅与更正**：员工应当能够查看系统里关于自己的信息，并能够申请更正错误。这既是权利，也是数据质量治理的手段——员工最了解自己的信息。 **知情与说明**：员工有权了解自己的哪些信息被采集、用于什么目的、由谁可见。涉及 AI 辅助处理、位置采集等场景，应当有明确的告知。 **在薪人薪事里**，员工端可查看本人的组织与岗位、合同状态、薪酬明细、考勤记录、社保缴纳情况等信息并可核对；信息的变更通过自助入口发起，按字段分级决定是否需要审批；采集与使用范围可通过员工告知或制度条款体现。 ## 五、落地时的三个实务建议 **先做字段盘点。** 把系统里所有员工相关字段列出来，逐项标注：用途、必要性等级、可见范围、保存期限。这份清单是后续所有决策的基础。多数企业做完这一步就会发现有一批字段从未被使用过。 **权限跟着必要性走。** 越敏感的字段，可见角色越少、脱敏规则越严格、例外查看门槛越高。不要用一套权限规则覆盖所有字段。 **保存期限要能执行。** 设了期限就要有到期处置机制（归档、匿名化处置），否则期限只是纸面规则。处置动作本身也应当留痕。 ## 常见问题解答 **Q1：字段已采集但后来发现没必要，能删吗？** 可以处置，但要注意两点：一是涉及合同、薪酬、社保等法定留存义务的记录不能因"觉得没必要"而删除；二是处置动作应当留痕（处置范围、时间、方式、操作人）。建议先区分"无留存义务的冗余字段"与"有留存义务的必需字段"。**在薪人薪事里**，字段的可见范围与采集配置可按业务需要调整；历史记录按分类保留，处置动作遵循企业制度。 **Q2：员工要求删除自己的信息，怎么办？** 需要进行判断而非一概同意或一概拒绝。存在法定留存义务的记录（如劳动合同、薪酬支付记录）在义务期内不能删除；无留存必要的冗余信息可以处置。建议对员工请求建立受理与答复机制。**在薪人薪事里**，员工请求可通过员工端或 HR 受理，处理结果与依据可留痕，便于说明判断过程。 **Q3：考勤定位数据的合规要点是什么？** 三条：以员工主动触发为采集时点（不持续采集）、明确告知采集目的与使用场景、限定用途（仅用于考勤认定且不进入其他模块）。**在薪人薪事里**，定位打卡的采集范围、使用场景与保存期限可在考勤规则中配置，采集动作以员工主动打卡为触发；数据仅用于考勤记录与异常判定；具体采集范围与告知方式仍需结合企业所在地区的合规要求确认。 **Q4：多主体集团的数据保存策略要不要统一？** 建议统一原则、分类执行。原则层面统一（哪些类型长期保留、哪些有限期），具体期限按各地区要求与业务需要确定。**在薪人薪事里**，多主体共用同一套员工主数据框架，数据按分类保留；权限由条件权限隔离统一定义边界，跨主体的数据访问受约束。 **Q5：数据安全和权限管理是一回事吗？** 不是。权限管理管"谁能看到什么"，数据安全还包括采集范围、传输与存储、脱敏、保存期限、处置、日志审计等多个方面。权限是其中最关键的一环，但不是全部。**在薪人薪事里**，权限由条件权限隔离按主体、组织节点、职级与角色组合控制；采集范围由字段配置决定；敏感字段支持脱敏；访问与操作留有日志，形成从采集到访问的完整管控链条。 ---