企业在运营过程中会收集数量惊人的数据，却很少停下来审查甚至删除这些数据。
数据保留策略定义了企业保留不同类型信息的时长、保留原因、谁有权访问这些信息，以及不再需要时应如何删除。对于中小型企业而言，这是降低合规风险而不使日常运营过于复杂的最实用方法之一。
许多公司将数据保留得比必要时间更长，因为删除让人觉得有风险。老客户的记录留在 CRM 中，离职员工的文件仍存于分享的云端硬盘中，合同在收件箱里一放就是好几年，导出的电子表格则被保存下来“以防万一”。久而久之，企业最终存储的个人身份信息 (PII)、财务记录和内部信息会多到难以妥善管理。
这在 GDPR 下会造成问题。存储限制原则要求个人数据的保留时间不应超过实现其收集目的所需的时间。保留策略有助于将该原则转化为可运行的体系：保留什么、保留多久、存放在哪里、由谁负责、如何移除，以及如何保护对保留数据的访问。
这一点很重要，因为弱密码仍然是各种规模的企业最常见的漏洞之一，而如果访问控制薄弱，保留的数据仍会面临暴露风险。
什么是数据保留策略？
数据保留策略是一组规则，定义了企业内不同类别的数据应保留多长时间，以及保留期结束后如何处理。它通常涵盖个人数据、客户记录、员工文件、财务文档、合同、通信、运营记录和关键业务文档。
一份实用的策略应回答以下四个问题：
- 我们持有哪种类型的数据？
- 我们为什么需要保留它？
- 我们应保留它多久？
- 我们将如何安全地删除、匿名化或存档它？
GDPR 并未为每种类型的数据设定具体时限，因此组织需要自行判断哪些保留对自身目的是必要的，将这一理由记录在案，并随时准备予以说明。
数据保留策略不只是列出日期，它还记录了这些日期背后的决策依据。如果有人问起为什么客户数据保留了三年，或者求职者记录为什么在六个月后被删除，企业必须能够给出明确的理由。
数据保留策略为什么重要？
保留策略有助于实现合规、安全和运营清晰化。它从三个方面保护企业：
- 减少数据泄露时可能暴露的数据量
- 降低因信息保留时间过长而产生的法律和合规风险
- 削减与过时记录相关的存储空间成本。
从合规角度来看，保留策略有助于履行 GDPR 数据保留义务，表明企业不会毫无理由地无限期保留个人数据。在英国，ICO 明确表示个人数据不应基于“以防万一”的心态保留，而只能保留到实现相关目的所需的时限。
从安全角度来看，不必要的数据越少，暴露面就越小。如果企业遭遇数据泄露，每一条过时的客户记录、旧工资单文件、未使用的导出文件或被遗忘的收件箱附件都可能增加受影响的信息量。
正因如此，保留策略应成为企业更广泛的数据泄露防范工作的一部分。数据的保留时长直接影响暴露面：不必要的记录在系统中留存越久，攻击者可访问、窃取或曝光的内容就越多。
从运营角度来看，保留规则减少了随意判断。员工应知道哪些内容要保留、存放在哪里、何时删除，以及由谁做决定。这对于不断壮大的团队尤为重要，因为其数据可能分散在电子邮件、云存储空间、HR 系统、财务软件、CRM、分享的云端硬盘和供应商平台中。
哪些数据需要保留计划？
数据保留计划是数据保留策略的执行部分。它将每个数据类别对应到保留期限、负责人、存储空间位置、删除方法、数据泄露防护措施以及保留原因。
中小企业应从日常使用的数据类别入手。
员工记录
员工记录并非都遵循相同的保留逻辑。有些必须因法定要求而保留，有些可能因需要解决纠纷而保留，还有一些只在有明确的业务理由时才保留。
例如，ACAS（新窗口） 表示，雇主必须自记录形成之日起至少保留假期记录六年；而GOV.UK（新窗口） 关于员工记录的指南指出，员工信息只应在企业对其有明确需要期间保留，之后应安全处置。
客户和潜在客户数据
客户数据可能包括联系人详情、购买历史、支持工单、账单信息、合同、帐户记录和沟通历史。潜在客户数据可能包括营销线索、活动报名、新闻通讯订阅和销售记录。
客户数据的保留时间应以满足以下需要为准：提供服务、履行合同义务、处理纠纷、遵守会计规则或满足法律要求。营销数据需要特别谨慎，因为同意、合法利益、取消订阅请求和目的限制都会影响其应保留的时长。
财务和税务记录
财务记录包括发票、回执、工资记录、银行对账单、费用报销、增值税（VAT）记录、会计记录、税务文档、合同和采购订单、审计报告、信用卡和贷款记录，以及相关的员工福利或养老金记录。
在许多司法管辖区，公司法和税法规定了保留会计和财务记录的最低期限，但具体时长因国家和公司类型而异。
合同和法律文件
合同、工作说明书、供应商协议、客户协议、租约和法律往来函件可能需要在合同期内保留，并在其后一段时间内继续保留以备纠纷之需。
具体期限取决于合同本身、诉讼时效、行业要求和法律建议。策略应为这些记录指定负责人，通常是法务、财务、运营或管理层。
电子邮件通信和内部文档
企业电子邮件往往是保留策略接受考验的地方。收件箱中可能存有合同、个人数据、附件、客户投诉、发票、候选人信息、密码和机密的业务决策。
保留计划应明确哪些内容属于电子邮件、哪些应移至经批准的系统，以及何时应删除或存档旧邮件。同样的逻辑也适用于内部文档、导出的报告、电子表格、分享的文件夹和聊天附件。但策略还需要一套执行机制。
保留规则应与经批准的系统、切实可行的自动删除设置、存档规则和所有权检查挂钩，以免数据在保留期结束后仅因无人处理而无限期留存。
凭证、访问记录和安全日志
保留也适用于安全记录。这可能包括访问日志、审计追踪、密码记录、恢复码、管理员活动、事件报告和身份验证记录。
有些安全记录需要为调查、合规或运营审查而保留。另一些则只应为明确的目的和有记录的期限保留，之后根据策略删除或存档，尤其是当它们会透露企业系统的运作方式或暴露敏感的访问详细信息时。
数据保留、凭证管理和访问控制相互重叠：保留的安全记录需要强有力的访问控制，因为它们可能透露企业系统的运作方式。
英国数据保留要求：中小企业须知
英国的数据保留要求各不相同，取决于数据类型、保留原因，以及其背后的法律、税务、合同或业务义务。
就 GDPR 数据保留而言，出发点是存储限制：个人数据只应在实现其目的所需期限内保留。英国 GDPR 没有为每个类别规定统一的固定期限，因此企业需要自行设定保留期限并说明理由。
有些记录有更明确的规则。有限公司通常需要自相关财政年度结束起保留会计记录六年，在特定情况下甚至更久。员工记录因类型而异，因此敏感的雇佣数据应仔细分类，并在必要时咨询法律或 HR 意见后进行审查。
归根结底，不可能用统一的保留期限套用于所有数据。数据应按类别区分，明确保留理由，并记录每项期限为何适当。
中小企业数据保留策略模板
可将此结构用作简单的数据保留策略模板，并根据企业的业务、行业和法律要求调整措辞。
1. 目的和范围
模板文案： 本数据保留策略说明 [公司名称] 如何存储、保留、存档、删除和保护业务数据与个人数据。本策略适用于收集、处理、存储或访问公司数据的员工、承包商、供应商、系统和服务。
2. 数据类别
模板文案： [公司名称] 将数据划分为多个类别，包括客户数据、潜在客户数据、员工记录、财务记录、合同、运营记录、安全日志和内部通信。每个类别必须指定负责人、存储空间位置、保留期限和删除方法。
3. 保留计划
模板文案： 数据的保留时间只能以业务、法律、监管、合同或安全目的所需为限。每个数据类别必须列入保留计划，并注明明确的保留期限和理由。
计划示例：
| 数据类别 | 记录示例 | 建议的保留方法 | 负责人 | 删除方法 |
| 客户数据 | 帐户记录、支持工单、服务历史 | 在客户关系存续期间保留，之后仅出于法律、合同或纠纷处理需要而保留 | 运营或客户成功 | 从 CRM 和支持系统中删除或匿名化 |
| 财务记录 | 发票、回执、工资单、税务文档 | 通常自相关财政年度结束后保留六年，除非法律要求更长的保留期 | 财务 | 安全存档，然后删除 |
| 员工记录 | 合同、工资单、假期记录、HR 文件 | 根据记录类型、法定规则和业务需要保留 | HR 或运营 | 从 HR 系统和分享的存储空间中安全删除 |
| 合同 | 客户协议、供应商合同、工作说明书 | 在合同期内保留，外加一个明确的纠纷处理期 | 法务、财务或管理层 | 安全存档，然后删除 |
| 安全日志 | 访问日志、管理员活动、事件记录 | 为调查、安全和问责需要而保留，然后根据风险删除或存档 | IT 或安全负责人 | 安全删除或存档 |
| 营销数据 | 线索、新闻通讯列表、营销活动记录 | 在存在有效目的且遵守抑制规则期间保留 | 营销 | 视情况删除、匿名化或抑制 |
4. 访问控制
模板文案： 对保留数据的访问必须仅限于因职责需要访问的人员。敏感数据必须存储在经批准的系统中，通过强身份验证加以保护，并定期审查。除非通过经批准的企业密码管理器进行管理，否则不得使用分享的凭证来访问保留数据。
本节是保留与凭证管理直接相关之处。必须保留的数据仍然需要保护。如果旧合同、工资单文件、客户记录或安全日志对已不再需要它们的人员仍然可访问，那么保留策略只解决了问题的一半。
企业密码管理器可支持访问控制，帮助团队创建强凭证、安全存储凭证，并仅与获授权人员分享访问权限。Proton Pass for Business 帮助团队在加密保险库中管理凭证并使用安全分享，从而降低保留数据因密码重复使用或非正式访问而暴露的可能性。
5. 删除和处置
模板文案： 保留期结束后，必须根据保留计划安全地删除、匿名化或存档数据。纸质记录必须碎纸处理或安全处置。数字记录必须从经批准的系统、分享的云端硬盘、适用的备份以及任何未受管理的存储空间位置中删除。敏感数据的删除应记录在案。员工还应知道不应将信息存储在何处，例如个人云端硬盘、未经批准的电子表格或聊天话题。如果某个数据类别受到法律保全、纠纷、审计或调查的约束，必须暂停删除，直至法务或管理层授权下一步操作。
6. 职责
模板文案： 每个数据类别必须指定一名负责人，负责保留决策、访问审查、删除和策略更新。员工有责任将数据存储在经批准的系统中，并报告其认为已过时、重复或存储位置不当的数据。
7. 审查频率
模板文案： 本策略和保留计划将至少每年审查一次；如果 [公司名称] 引入新系统、法律义务发生变化、发生安全事件，或收集/处理个人数据的方式发生变化，则将提前审查。
访问控制与保留数据
保留策略绝不应与访问控制分离。出于正当理由保留数据并不意味着所有人都应能够访问它。
保留数据通常包含敏感信息：员工文件、客户记录、税务文档、合同、安全日志和事件报告。如果访问缺乏管理，较旧的数据可能在帐户被泄露时成为轻易的目标。如果员工能够打开与其职责无关的记录，也会带来内部风险。
访问控制应回答以下问题：
- 谁可以访问每个保留数据类别？
- 哪些系统存储它？
- 哪些凭证保护它？
- 是否启用了 MFA？
- 分享的凭证是否受到控制？
- 上次访问审查是什么时候？
- 有人离职或变更角色时会怎样？
- 是否授予了第三方供应商和供货商访问权限，该权限是否受到控制？
数据保留与凭证管理密切相关。在泄露防范方面，访问控制还能缩小影响范围。如果攻击者泄露了一个帐户，不应让其自动获取多年存档的客户数据、旧合同或员工记录。创建密码策略可以帮助团队定义密码创建、分享、访问管理和身份验证规则。
在泄露防范方面，访问控制还能缩小影响范围。如果攻击者泄露了一个帐户，不应让其自动获取多年存档的客户数据、旧合同或员工记录。Proton 的企业数据泄露防护指南解释了为什么在事件发生之前限制访问和减少不必要的暴露非常重要。
像 Proton Pass for Business 这样的企业密码管理器还可以帮助团队控制和审查对解锁保留数据的凭证的访问，通过管理面板实现集中管理、安全分享和更清晰的责任归属。
常见的数据保留策略错误
许多中小企业已经形成了不成文的保留习惯，却没有可靠的策略。最常见的错误很容易犯：保留过多数据、用同一条规则套用所有记录、忘记日常系统中的副本、在未检查法律保全的情况下删除，或让保留数据对过多人员保持可访问。
| 错误 | 为何带来风险 | 正确做法 |
| 永久保留一切 | 出于“以防万一”的心态存储数据会增加合规风险和泄露暴露面。 | 只在有明确的法律、合同、安全或业务理由时才保留数据。 |
| 对所有数据使用同一保留期限 | 财务记录、员工文件、营销线索、合同和日志各有不同用途。 | 按数据类别定义保留期限。 |
| 遗漏电子邮件、电子表格和导出文件 | 副本可能残留于收件箱、下载文件夹、分享的云端硬盘或未受管理的文件中。 | 在策略中纳入次要存储空间位置。 |
| 未检查法律保全就删除 | 有些数据可能需要为纠纷、审计、调查或监管义务而保留。 | 在删除前增加一个审查步骤。 |
| 忽视对保留数据的访问 | 如果过多人员能够访问，所保留的数据仍可能暴露。 | 指定负责人、限制权限并定期审查访问。 |
将保留规则落实到日常实践中
实用的策略从企业已持有的数据出发，并将其转化为人们可以遵循的计划。每个类别都应有保留理由、负责人、审查频率和明确的删除流程。在这些数据仍留存于系统中的同时，访问应仅限于真正需要它的人员。
对许多中小企业而言，凭证管理是最容易改进的环节之一。强密码、安全分享和受控访问有助于确保保留数据仅供需要它的人员使用。
使用安全的企业密码管理器，控制企业内谁可以访问保留数据。
