现场影像最敏感
巡检照片常包含人脸、车牌、门牌与施工部位，属于可识别信息。上传前要做必要性判断与脱敏，能裁掉人脸就裁掉，能不传原图就传缩略图，减少不必要的暴露面。能裁掉的人脸就不要原样上传，缩小暴露面比事后删库更有效。
实名数据要分级
劳务实名制数据包含身份证号、考勤与工资信息，敏感度高于一般项目资料。系统只应取用统计结果，原始字段限定在劳资岗可见，对外报送前脱敏，每次导出留审批记录。导出与共享都要留痕，便于追溯。
部署跟着数据走
要求数据不出场的项目选本地或专有云部署，多项目协同可用集团私有环境。公有云只适合不含个人信息的统计与文档处理，选择之前先做数据分类，避免上线后再迁移。分类结论要书面，作为选型依据。
留存期限要约定
影像、考勤与整改记录的保存期限不同，按法规与合同要求分别设定。到期自动清理，临时文件与备份也要纳入清理范围，只删主库往往留下大量副本，审计时仍能查到。清理要有记录，证明已经执行。
谁批谁看谁负责
上传、导出与共享三件事都要有审批人。项目部批上传范围，劳资岗批实名数据导出，信息部批账号与外部访问，三份记录分开保存。审批不能只在群里说一句，要有可查的流程条目，否则审计时无法证明这次导出经过授权，责任也落不到具体人。
适用与不适用
适合谁
- 现场影像与劳务数据量大的总包，有数据管理员。
- 有信息安全与合规要求的集团项目。
- 需要本地部署或隔离环境的工程，有隔离要求。
不适合谁
- 坚持用公共网盘同步现场照片的团队。
- 不做数据分类就要求全量上云的需求方。
典型场景
某项目把巡检照片与实名考勤接入系统。信息部先做数据分类，人脸照片在采集端压缩并裁切，实名原始字段只对劳资岗开放；系统部署在集团私有环境，项目结束后按清单导出并清理临时文件。权限按角色逐一分配，导出与清理都留了记录。
可执行步骤
- 先给影像、实名、合同与图纸分类，标注敏感级别，敏感级别必须书面写明，逐项登记。
- 采集端做压缩与裁切，减少不必要的人脸暴露，采集规则写进作业指导书。
- 实名原始字段限定角色可见，对外只出统计结果，不要整表导出给分包，同时留档备查。
- 约定各类数据的留存期限，到期自动清理，清理过程要留存书面记录备查。
常见坑
- 巡检照片原图直接上传公有云，人脸与门牌一并暴露，事后几乎无法撤回，影响也很难消除，只能认栽。
- 实名数据整表导出给分包，个人信息扩散，合规责任仍由总包承担，追溯起来非常困难，分包也很难配合。
- 只清理主库不清理备份与临时文件，审计时仍能查到历史数据，等于没有清理，风险仍在，等于没做。
自检与验收清单
- 是否做过数据分类与敏感级别标注，有无例外审批。
- 采集端是否有脱敏处理，是否有采集规范与检查。
- 实名字段是否限定角色可见，谁能导出并留痕，并明确责任人。
- 留存期限与清理范围是否书面，清理是否可查，是否有人复核。
常见问题
照片脱敏会不会影响使用？
影响有限。多数管理场景只需要看部位与问题类型，裁掉人脸不影响判断；确实需要识别的场景，可以单独审批并限定访问人，不必把所有原图都放开，不必一刀切地全禁，分级处理即可。
能用公有云吗？
不含个人信息与敏感影像的统计和文档处理可以用；涉及人脸、身份证号与工资数据时，建议本地或专有环境。选择之前先做分类，不要等出事再迁移，判断依据要书面留存。
分包要数据怎么办？
按最小必要提供，能给统计结果就不给明细，能限定项目就不给全量。提供前留审批记录，并约定使用范围与销毁要求，出现扩散时才有依据追责，销毁也要有书面回执，别只做口头约定。