数据治理应区分个人信息权益、合法处理依据和内部维护责任。企业收集资料不等于取得可以任意使用的所有权，分公司与总部也不能仅靠内部协议决定跨境数据可用范围。 为岗位列出必要的查询、编辑、导出和审批权限，核对离职回收与例外授权。MFA和加密降低部分风险，不能保证始终安全；客户资料与安全日志需分别管理。 个人提出删除请求时，应核查身份、适用条件及保留义务，再执行和答复，不能概括为任何请求都立即彻底清除。企雀客户档案可整理业务信息，片段共享和不可篡改审计等能力需单独验证。