强制性国家标准《数据安全技术 电子产品信息清除技术要求》已发布，将于 2027 年 1 月 1 日起正式实施，适用于面向境内生产、销售、具有非易失性存储介质的电子产品，覆盖手机、平板、笔记本电脑、台式机电脑、智能穿戴设备、办公设备等。

「信息清除」不等于「删除」

标准明确区分了两个概念：普通的删除或恢复出厂设置往往只是把数据标记为无效，数据本身仍可能残留在存储介质中；「信息清除」是对存储介质中的数据进行技术处理，使其不可逆且无法被访问或恢复。

两种核心技术方法

  • 数据覆写：将固定或随机的无含义数据写入电子产品，覆盖与用户数据有关的每个存储单元。磁介质要求覆写至少 3 次且包含 1 次随机数覆写；半导体介质要求至少覆写 1 次。
  • 块擦除：针对半导体介质，通过调用存储介质指令，对物理块执行根本性的擦除操作。

谁承担清除责任

  • 电子产品厂商：应为用户提供内置信息清除功能；无法开发内置功能的，须提供外部清除工具、告知可用第三方工具，或提供免费清除服务。执行前必须明示清除范围、方法和影响并获得用户同意。
  • 二手电子产品回收经营者：回收前主动提示用户清除，未经同意禁止访问或留存用户数据；必须使用符合标准的功能或工具进行清除；产品损坏无法软件清除的，必须对存储介质进行物理销毁；销售前必须验证清除效果，未清除用户数据的产品禁止再销售和运输出境；建立档案记录清除操作与验证结果，留存不少于 3 年。

对企业资产处置的意义

这条标准把「数据清除」从企业自身的管理动作，扩展成了回收处置链条上的法定义务。企业处置含有业务数据或客户信息的 IT 资产时，应当要求承接方提供符合标准的信息清除或物理销毁证明，并把证明归档——这既是数据合规要求，也是日后审计的凭据。

清除做完，怎么验收

标准给出了技术要求，但落地时委托方最关心的往往是「怎么确认真的清干净了」。可操作的验收动作有三项：

  • 看方法——清除采用覆写、块擦除还是销毁介质，方法要与介质类型和数据敏感级别匹配。
  • 看记录——每台设备的清除时间、执行人、使用工具与结果应有记录，可追溯到具体序列号。
  • 抽检验证——按比例抽样做数据恢复尝试，验证清除后的介质中不存在可读的原始数据。

三项都做到，清除过程才具备可审计性。只有一句「已清除」的口头承诺，在审计与监管检查中站不住。

批量处置时，抽样比例与抽检记录最好写进合同：事后争议最多的往往不是「清没清」，而是「怎么证明清了」。约定清楚验收方式，比事后补证明材料省事得多。

来源

阳江市阳东区人民政府政策解读：yangdong.gov.cn。