轨迹数据存多久、谁能看？留存与权限边界怎么定

员工轨迹数据存多久、允许谁看，法规没有给出统一的天数，也没有现成的权限表。它给的是两条判断规则：保存期限取"实现处理目的所必需的最短时间"，操作权限要"合理确定"。企业真正要做的，是把自家的管理目的翻译成具体的期限和权限。

下面按四步推进：先确认三条硬约束，再算出留存期限，接着分级查看权限，最后落到系统配置与验证清单。

一、先定性：员工轨迹数据受哪些硬约束

员工在外的定位与移动记录，属于"行踪轨迹信息"。《个人信息保护法》第二十八条把行踪轨迹与生物识别、医疗健康、金融账户并列，归入敏感个人信息。它比一般员工信息受到更严格的处理约束，不能当成普通考勤数据对待。

具体约束有三条：

• 目的与必要性：只有具有特定目的和充分必要性，并采取严格保护措施，才能处理敏感个人信息（第二十八条）
• 单独同意与额外告知：处理敏感个人信息应当取得单独同意（第二十九条）；除常规告知项外，还要告知处理的必要性以及对个人权益的影响（第三十条）
• 事前影响评估：处理敏感个人信息，应当事前开展个人信息保护影响评估，并对处理情况进行记录（第五十五条）

有企业会问：不是有"人力资源管理所必需"吗？《个人信息保护法》第十三条第二项确实规定，按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需，不需取得个人同意。

但这一条解决的是能不能处理，不豁免敏感个人信息的单独同意与影响评估，也不代表可以长期保存。稳妥的做法是把定位写进依法制定的规章制度，同时就定位等信息单独取得员工同意并留档。

员工不同意定位，是这套边界里最容易卡住的一环。可行的方向是把采集限定在工作时段与工作场景，并保留合理的替代核实方式，例如现场水印拍照留痕、工作汇报。只留一种强采集方式、不给替代安排，被认定为过度处理的风险会明显上升。

二、存多久：留存期限的三层叠加法

法律没有"员工轨迹存多少天"的统一答案。《个人信息保护法》第十九条给的规则是：除法律、行政法规另有规定外，保存期限应当为实现处理目的所必要的最短时间。期限要从你的处理目的里算出来。

第一层：先分清哪些是法定下限

有些留存要求来自其他法规，但约束对象不同。《网络安全法》第二十一条第三项要求网络运营者按规定留存相关网络日志不少于六个月；《个人信息保护法》第五十六条要求影响评估报告和处理情况记录至少保存三年。

这两条都不是"员工轨迹必须存多久"的规定，不能直接套用。定期限前先分清楚：哪些是法规强制的最低下限，哪些只是自己的业务需要。

第二层：按处理目的估算必要时间

每个目的对应一个核对窗口，期限只要覆盖这个窗口即可。下面的口径可以作为估算起点：

这张表要结合行业与岗位写细。医药、工程、危化品运输等场景对过程留痕要求更高，销售与服务的核对周期更短，同一套期限很难通用。

第三层：把到期动作写清楚

到期只是删除的起点。《个人信息保护法》第四十七条列出了应当主动删除的情形：处理目的已实现、无法实现或者不再必要；停止提供产品或服务，或者保存期限已届满；个人撤回同意等。

如果法规规定的保存期限未届满，或者删除在技术上确实难以实现，也应当停止除存储和必要安全保护之外的处理，不能继续调用这些数据。

最常见的越界，是为"以后可能有用"长期保存全量轨迹。轨迹数据是敏感个人信息，保存越久，泄露和越权查看的后果越重。把期限写进制度、写进账号配置，比事后解释更省力。

三、谁能看：权限边界的四个维度

"谁能看"不是给不给管理员一个开关。《个人信息保护法》第五十一条要求合理确定个人信息处理的操作权限。落地时把权限拆成角色、范围、时间、用途四个维度，边界就好定。

角色：按职责给最小权限

• 直接主管：查看直属下级的轨迹与报表，用于过程管理
• 人力或行政：查看考勤与异常相关数据，用于核对与处理
• 高层管理者：默认看汇总视图，需要看单人明细时单独说明
• IT 与运维：只维护账号与系统，不默认具备查看业务轨迹的权限
• 外部人员与供应商：原则上不开通

范围：跟组织架构对齐

范围决定一个人能看到多少人。跨部门、跨区域调取他人轨迹，建议设独立审批。容易被忽略的是员工本人：第四十五条赋予个人查阅、复制其个人信息的权利，产品与流程设计时应当给本人留出入口。

时间：把采集限定在工作时段

时间维度是员工感受最直接的部分。小步外勤支持工作时段定位，可以选择上班开启定位、下班自动结束定位，把采集范围限定在工作时段内。制度和系统里都要写清"工作时段"的起止与例外情形，比如值班、跨时差团队。

用途：用途变了要重新评估

同一个轨迹数据，用于内部核对和对外提供，风险完全不同。第二十三条要求向其他个人信息处理者提供个人信息时取得单独同意；第二十五条规定不得公开处理的个人信息，取得单独同意除外。把导出、对外提供设为独立审批项，能拦下大部分越界。

可以用一张权限矩阵把四个维度固定下来：

离职与调岗：把回收做成固定动作

员工离职、调岗或换区，账号权限应当同步回收，这条写进离职流程更容易执行。离职后是否继续保存轨迹数据，取决于是否仍有处理目的，例如未结的劳动争议或审计；没有目的就应当删除。

四、怎么落地与验证：一张季度检查清单

边界写在制度里只是第一步，能验证才算落地。下面几项建议按季度过一遍。

• 告知与同意：启用定位前是否单独告知处理目的、方式、种类和保存期限，单独同意是否留档（第十七条、第二十九条）
• 影响评估：是否事前完成个人信息保护影响评估，报告与处理记录是否至少保存三年（第五十五条、第五十六条）
• 权限台账：系统账号与制度里的权限矩阵是否一致，离职与调岗权限是否已回收
• 导出与对外提供：是否有独立审批与操作记录
• 到期动作：是否按期执行删除或去标识化，技术上难以删除的是否已限制为存储与安全保护（第四十七条）
• 员工权利：查阅、复制、更正、撤回同意、删除请求是否有受理渠道和处理时限（第四十五条至第四十七条、第五十条）

系统侧的技术能力能分担一部分工作。小步外勤的工作轨迹管理提供轨迹明细、轨迹汇总、在岗脱岗明细与轨迹报表，停留点与停留时长可查；水印拍照把时间、地点、拍照人、客户记进照片，仅支持现场拍照，水印防篡改；电子围栏可以设置脱离围栏的提醒，精准地址显示让查看定位时直接看到门店或客户名称。

安全层面，平台通过 ISO 27001 等信息安全认证。这些能力解决的是采集有据、查看有痕，制度与授权解决的是该不该采、该不该看，两者不能互相替代。

留存还有另一面价值：举证。贵州北极熊一起劳动纠纷中（案号：(2024)黔01民终10557号），企业出示连续多个工作日的定位轨迹数据，证明员工旷工，法院认定轨迹有效，企业胜诉。多地法院判例也确认，因工作需要的定位管理不构成对个人隐私的侵犯。留存的意义在于需要时拿得出来，而不是存得越多越好。

五、决策顺序与三个常见偏差

把前面四件事按顺序推进，边界基本不会跑偏：

1. 写清处理目的：定位要解决什么管理问题，谁需要用它做判断
2. 算出期限：每个目的对应一个必要期限和一个到期动作
3. 分出权限：按用途、角色、范围、时间生成矩阵，导出与对外提供单独设审批
4. 定期验证：按清单检查，发现不一致时改配置

执行中最常见的三个偏差是：把签了劳动合同当成已经取得同意；把通用后台管理员权限默认给 IT 或行政；把"以后可能有用"当成保留理由。三个偏差指向同一个问题——处理目的没有写清楚。

轨迹数据存多久、谁能看，最终是管理目的与合规成本之间的一次权衡。目的清楚、期限算得出、权限分得开、到期删得掉，这套边界就站得住。先定边界再选系统，会比先上系统再补边界省力得多。

参考资料

• 《中华人民共和国个人信息保护法》，2021年8月20日第十三届全国人民代表大会常务委员会第三十次会议通过
• 《中华人民共和国网络安全法》第二十一条（2025年修正，2026年1月1日施行）
• 小步外勤产品资料（工作轨迹管理平台、安全合规保障）