入職表複印身份證正反面、客戶登記恨不得要到家庭住址，理由都是\"以後可能用得上\"。可能用得上的欄位，是隱私事故的庫存。最小夠用原則很具體：當前流程必需才採集，誰履職誰可見，目的消失就刪除或脫敏。員工數據和客戶數據都適用，不能只在對外宣傳裡講保護客戶。
合規不是加一個同意勾選。是欄位、權限和期限三件事都寫進系統。
採集前先問三個問題
沒有這個欄位，這筆業務是否做不成？這個角色是否必須看全文？過了多長時間必須不再保存原文？三個問題有一個答不上，欄位就不要進主表。複印件能用回執替代的，不要存影像；能用後四位的，不要存全號。
- 員工：薪資、健康、家庭信息與考勤系統隔離，默認不可導出。
- 客戶：證件和銀行卡只在支付/報關等法定環節出現，銷售跟進看不到。
- 日誌記錄訪問，異常批量查詢告警。
權限和期限比承諾重要
離職當天關帳號，項目結束收協作權限，超出期限的附件自動脫敏。XYN 數智化系統按角色裁剪欄位，敏感項走單獨授權。最小夠用一旦成為默認，合規檢查會短很多，因為沒有多餘的庫需要解釋來源。
先刪掉\"以後可能用得上\"的那些列。刪掉之後，制度手冊才終於和系統一致。
