数据存储期限合规：员工离职后系统中的个人数据要留存多久？
依据个保法第十九条与第四十七条，个人信息保存期限应为实现处理目的的最短时间，目的达成或撤回同意时须主动删除。劳动合同法与工资支付暂行规定要求合同与工资记录至少留存两年，农民工三年；考虑竞业禁止仲裁与民事时效最长二十年的举证需求，业内通常将员工离职后留存五年视为合理期限。实际删除需经数据梳理、生命周期划分、期限配置、触发机制、物理删除或匿名化、备份清理六步推进。
APP隐私政策需要改版了，要素式的合规要求
2026年1月网信办发布《互联网应用程序个人信息收集使用规定（征求意见稿）》，覆盖App、SDK、分发平台与终端，强化告知同意。隐私政策须以加粗放大异色显著展示处理者主体与DPO邮箱。个人信息收集须以表格或列表结构化呈现，列明目的、方式、种类、调用权限、采集频度、必要性及对权益影响。SDK须列包名、版本、功能、运营者与规则链接。存储期限须明确而非含糊。九项用户权利须给出App内可达的操作路径，形式合规将不再蒙混过关。
容易忽视的必备合规项：数据处理活动记录(RoPA)，要求和示例
RoPA即数据处理活动记录，是GDPR第三十条强制要求的核心合规台账，雇员二百五十人以下企业原则上豁免，但涉及高风险、敏感或刑事数据的仍须建立。控制者与处理者记录内容不同，须以书面或电子形式留存供监管调阅。个保法虽未使用该字样但要求等同。它是监管检查第一必查项与举证倒置下的核心凭证，也是数据地图、DPIA与留存清理的输入基础，须于业务上线前建立并定期复核，区别于数据库增删日志。
金融行业数据合规自查（附程序）
金融行业数据合规涉及个保法、数据安全法、网络安全法以及人民银行、银保监会、证监会的多层级监管文件，对客户身份资料、交易记录、征信信息的收集、存储、加密、留存与跨境提供均有专门要求。卓建数据合规团队据此设计了面向银行、保险、证券及非银行支付机构的轻量化自查程序，用户按机构类型勾选回答即可获参考评分，并对不合规选项自动生成问题解析与法规对照。关注公众号输入jrhgzc即可进入小程序。
一文了解GDPR的LIA 评估（附模板下载）
LIA即合法利益评估，是企业以GDPR第六条第一款f项正当利益作为处理合法基础时必须事前完成并书面留痕的评估文件，2024年10月EDPB发布《正当利益指南》后正式纳入合规清单。适用于不依赖同意、合同或法律义务的营销、风控、运营优化等场景。核心要求为事前完成、书面留痕、定期复核、不可兜底。相比DPIA更轻量，内容含具体利益、必要性与替代方案、企业利益与个人权利平衡测试三部分。个保法未独立设LIA，已并入PIA兜底条款。
敏感数据加密和单独存储的补充说明
依据TC260-PG-20244A与GB/T45574-2025最新标准，身份证号与电话已被排除于敏感个人信息法定类别，但分级仍宜列为高敏。SQLServer与MySQL均支持字段级加密函数，但批量查询逐行解密带来CPU损耗，字段须设为二进制、密文体积膨胀两到三倍。微软AlwaysEncrypted提供数据库级方案，结构无需改造，运维DBA无密钥仅见密文。TDE透明加密仅防拖库不防内部人员，不满足字段级合规。分开存储不强制分库，逻辑隔离即可。
如何落实敏感信息“加密”和“分开存储”的合规要求？
敏感个人信息须加密并与普通信息隔离存储，常用做法是按业务字段与隐私字段拆分两表通过主键关联。指纹与人脸不存原图，仅存关键点特征的加密向量。未成年人姓名电话身份证均属敏感，全字段加密后SQL无法按明文条件查询，需额外建哈希列，先哈希入参再匹配，排序同样需特殊处理。混合存储成年与未成年信息时宜统一升格敏感等级。旧系统改造工程巨大，故倡导PbD从源头融入。
GDPR合规自查评估（附程序）
中国《个人信息保护法》在告知同意、数据主体权利、保护影响评估、泄露通知、负责人制度与长臂管辖等方面深受通用数据保护条例影响，但通过大量标准与指南形成自成体系，与欧盟版本在合法性基础、罚款标准、出境路径上存在差异。条例覆盖合法性基础、八项权利、控制者与处理者义务、跨境传输机制、数据保护官、违规通报与高额罚款等要点。卓建团队推出自查小程序，将法条转为可勾选问题，覆盖跨境出海等场景。
我们企业的数据到底是不是“重要数据”？
重要数据是中国法律专用名词，指特定领域、群体、区域或达一定精度规模、一旦泄露篡改可能危害国家安全、经济运行与公共健康的数据，依据《数据安全法》《网络数据安全管理条例》及国标四三六九七等行业指南识别。一旦被认定，企业须履行全方位安保义务，出境前必须通过安全评估。国家互联网信息办公室二零二五年五月三十日答问明确，未被告知或公开发布的，未申报与未出境评估均不会被认定违规。
个人信息保护合规审计自查（附程序）
国家互联网信息办公室二零二六年四月三日发布的小型个人信息处理者简化措施规定征求意见稿第十四条规定，处理不满十万人个人信息的主体可采用附件自查表，至少每五年开展一次合规审计并保存五年。自查表覆盖处理规则、向外提供、敏感信息、自动化决策、数据出境、权利保障、制度技术保障及评估应急多维度。卓建团队开发的自查小程序支持自动评分、不合规项解析、配套法规显示与整改说明。
