人脸、指纹、虹膜：打卡机攒下的，是企业拆不掉的雷

业内流传过一桩案子。

某公司换考勤系统，旧门禁机当废品卖了。机器硬盘里，还存着全公司两千多名员工的人脸特征和指纹模板。买主，是做数据买卖的。

后来员工发现，自己在不明网站上有"人脸数据"记录，集体投诉到网信部门。企业赔了钱、公开道歉，还领了顶格行政处罚。

理由很直接：生物识别信息属于敏感个人信息，一旦泄露，无法更改。密码能改一版，你的脸和指纹不能。

很多企业觉得，考勤门禁不过是个打卡工具，出不了大事。恰恰相反——这块攒下的，可能是全公司风险密度最高的数据。

三处最容易翻车的地方

一、供应商手里那份，你根本不知道在哪。

门禁、考勤外包或上了云，原始特征库存在哪台服务器、有没有备份、供应商内部谁能调，企业自己往往说不清。合同里没写数据归属和销毁义务，出了事照样是第一责任人——法律不认"那是供应商弄丢的"。

二、设备一退役，数据就裸奔。

门禁机、考勤机、闸机硬盘里的特征库，转卖、报废、返修时没人处理，前面那桩案子就是这么来的。同类的还有：维修商上门调试，顺手把特征库导出来"方便排查"，导完就留在自己笔记本里。

三、采集环节，能多采就多采。

刷卡就够的仓库门禁，为了"智能"硬上人脸；访客登记要录指纹；培训签到刷脸，还顺带留了视频。采得越多，埋得越深。

普通数据泄露，是丢了一份文件；生物信息泄露，是丢了一把永远配不回来的钥匙。

怎么把雷排掉

先做一轮生物信息资产盘点。

全公司哪里在采人脸指纹、存在哪台设备或哪个系统、谁有权限导出，列成一张清单。不少企业盘完会吓一跳：部门自购的指纹考勤机、外包食堂的人脸支付、访客登记系统，各攒各的库，互不相通，也没人管。

存储加密，权限收敛。

特征库开启设备级加密，导出功能默认关闭，确需导出必须走审批、留痕。管理后台账号逐人独立，杜绝"admin/123456"这类默认配置——门禁系统的弱口令，是物联网安全事件里的常客。

供应商协议补齐三件事。

数据所有权归企业、供应商不得留存副本、合同终止出具销毁证明。已经上云的，要求对方说清存储位置和加密方式；说不清的，换方案。

设备生命周期里，加一道"数据清除"。

门禁考勤设备退役、返修、转卖前，由 IT 执行特征库擦除，留档确认，和电脑硬盘处置走同一套流程。这一步成本几乎为零，但九成企业没做。

采集做减法，把知情权还给员工。

按《个人信息保护法》，采生物信息要单独告知、单独同意；规章制度里写清用途、保存期限、员工如何申请删除。能刷卡的场景不强制刷脸，把"必须刷脸"留给真正需要高安全的区域。

收个尾

密码泄露了能改，人脸泄露了改不了。这是生物识别信息和普通数据最本质的区别，也是它值得单独建一套管控流程的原因。

上邦在企业防泄密方案里，一直把生物特征库和 HR 薪酬数据、客户名单划进同一个最高密级。不是因为打卡机多贵，恰恰是因为它太小、太不起眼，太容易被忘在处置清单之外。

打卡机虽小，装着全公司每个人都改不掉的那串"密码"。