数据用得越顺手，越容易越界。把边界写成三条可检查的规则，比在培训里反复强调合规更实在。
边界一 最小必要
收集字段逐项写明用途，填不出用途的字段删掉。面诊表上的收入、婚育、住址，若与方案无关就不要设成必填。字段每增加一项，就多一份泄露风险和管理成本。每季度把表单过一遍，删掉连续三个月没人填的项。
边界二 去标识
做统计和投放分析时，用客户编号替代姓名和电话。导出文件默认脱敏，需要原数据时单独申请并记录用途。含照片的资料单独存放，访问权限只给直接服务人员。客户编号与姓名的对照表单独加密保存。
边界三 留存期限
咨询未成交的记录建议保存 12 个月，成交客户的病历按法规要求保存。到期数据统一清理，清理记录写清批次、数量、执行人。纸质档案同样设到期日，碎纸记录和电子清理记录合并归档。不要用备份盘无限期留着。
每季度自查一次
抽查十份导出文件，看是否有未脱敏的姓名电话，是否超出申请用途。发现问题先停用账号，再补流程。自查结果交负责人签字，问题清单在下次自查时逐条回看。数据伦理落到执行层面，就是这几个动作。自查表按季度编号，跨年可以直接对比。
本文为行业观察与科普，不构成医疗建议；具体方案请以正规医疗机构面诊为准。免责声明