您尚未审计的 DLP 盲区
DLP 工具监控网络流量、电子邮件附件和文件传输，能拦截含有社会安全号列的电子表格，标记含有客户名单的邮件，阻止含有医疗记录的上传。
但它们无法捕获截图。
截图是图像文件，其中的 PII 以像素形式呈现，而非文本存储。扫描 PII 模式的 DLP 引擎无任何发现。
每天，员工将截图粘贴到 Slack、Jira、Teams 和邮件线程中——DLP 告警静默无声。
截图如何在工作中传播 PII
远程和混合办公使截图分享变得普遍，内部工具每天都在积累这类内容。
员工分享截图是为了快速传达上下文：
- 客服专员截取客户账户页面，分享给团队主管。
- 开发人员分享含有用户输入数据的错误日志。
- 客户经理将 CRM 记录发给财务团队提供背景信息。
- IT 管理员截取系统界面，为承包商提供配置文档。
- 产品团队在利益相关方更新中分享仪表盘视图。
每张附图都可能携带个人信息：客户账户截图包含姓名、邮箱、状态和账单地址；错误日志截图可能含有用户输入的姓名、地址或电话号码；CRM 记录截图包含完整账户档案；仪表盘截图可能在图表标签中显示用户 ID。
访问控制问题
分享截图还带来访问控制隐患。
大多数组织对生产系统实施了基于角色的访问控制（RBAC）：客服专员只能查看自己队列中的记录，承包商只能访问指定项目文件。
但当专员截取客户记录并粘贴到有承包商参与的 Slack 频道时，访问控制便被绕过——承包商获得了本应无权查阅的个人数据，而涉及承包商工作的数据处理协议可能未涵盖这种数据传输，客户的 GDPR 权利也可能无法适用于该承包商。
这一绕过行为涉及 GDPR 第 5 条第 1 款 (f) 项（完整性与保密性），同时可能违反第 28 条，使承包商在没有适当数据处理协议的情况下获取个人数据。关于第 28 条义务的核查清单，请参阅我们的 GDPR 合规指南。
图像 PII 检测作为技术保障
针对截图 PII 泄露的技术保障措施是：OCR 结合 NLP 检测。步骤如下：
- 员工截取客户界面。
- 分享前：将截图上传至检测工具。
- 工具通过 OCR 提取可见文本。
- NLP 识别文本中的 PII 实体。
- 员工看到报告：「此截图包含：[客户姓名]、[邮箱地址]、[账户 ID]。」
- 员工随后脱敏 PII、缩小分享范围，或附上书面理由后继续分享。
这并非阻止所有分享，而是在信息转移之前让人们看清所含的个人信息，从而做出知情选择。关于如何将此纳入整体安全保障体系，请参阅保障页面。
案例研究：SaaS 企业服务台 Jira 截图管理策略
某 SaaS 公司的服务台使用 Jira 记录账户问题，附在工单中的截图含有用户 PII，具体包括：
- 来自账户管理界面的用户邮箱地址。
- 订阅方案详情。
- 账单金额和日期。
- 部分截图中含有支付信息片段。
GDPR 审计发现，18 个月内共创建了 847 张含有 PII 附件的 Jira 工单，这些工单对全部 200 名工程师开放，其中部分是没有签署客户账单记录数据处理协议的承包商。
整改措施：
- 回溯审计：对所有现有附件运行 PII 检测，312 张工单被标记待数据保护官审查。
- 工单清理：89 张工单在重新附件前进行了图片脱敏。
- 流程变更：建立新工作流程，要求在 Jira 附件上传前进行 PII 检测。
- 培训：为所有服务台员工开展 15 分钟专项培训。
90 天后成效：
- Jira 中的 PII 事件：下降 90%。
- 剩余事件：员工附上书面诊断理由后继续分享的情形。
- 数据处理协议范围：更新以减少承包商不必要的个人数据访问。
312 张历史工单是合规发现，90% 的降幅则是审计回应中整改到位的有力证明。
将截图审查融入团队工作流程
对于希望在不干扰运营的前提下实施 PII 管控的组织，有以下几种选择。
轻量级方案： 员工在粘贴到 Slack 或 Jira 前使用浏览器工具。拖入截图，五秒内获得 PII 报告，然后选择继续或脱敏。
Jira 或 ServiceNow 钩子： 在文件上传工单前运行检测，类似上传前的病毒扫描。
Slack 机器人： 在选定频道接收截图上传的机器人，运行 PII 检测后在线程中回复检测到的实体，让个人信息无需阻断工作流程即可一目了然。
团队规范加抽查： 每周自动抽查，对协作工具中 10% 的截图运行检测，向团队负责人汇报结果，在不阻断任何工作流程的前提下建立问责机制。
对于 GDPR 文档：截图 PII 管控属于第 32 条规定的「组织措施」。写明保障措施——政策加技术工具——并附上使用证明，这满足第 5 条第 2 款规定的问责要求。请参阅合规页面和第 32 条术语表条目。
想了解 anonym.legal 如何为您的团队解决这一问题？请访问定价页面或阅读创始人声明。
参考资料
- GDPR 第 5 条：数据处理原则。经核实外部链接。
- GDPR 第 32 条：处理安全性。经核实外部链接。
- ICO：默认数据保护设计。经核实外部链接。