参与者希望删除测评资料时，通常关心的是哪些信息还在、以后谁能看到，以及申请什么时候有结果。机构需要把请求接住，查清相关资料与适用依据，再说明处理结果，不能只把一条记录从列表隐藏就回复“全部删除”。
先确认申请范围和接收责任
通过适当方式确认申请来自本人或有权提出请求的人，核实所指的项目和资料。确认过程也应适度，不为了删除一份报告额外收集大量无关身份材料。
申请可能只指某个项目，也可能包括账号关联的其他信息。范围不清时先澄清，并告知负责处理的机构与联系渠道。软件供应商受机构委托处理数据的，应按相应安排协助，不能让参与者在双方之间反复转问。
判断能否删除，要回到实际依据
境内业务应首先核对适用的中国法律和具体服务关系，不能把欧盟GDPR当成所有项目统一适用的规则。个人信息保护法第四十七条规定了应主动删除、个人可请求删除，以及特定情况下限制处理的要求。
不能仅因报告提示需要关注，就自动认定存在医疗记录保留义务。确有依法保留的部分，应核清资料类型、适用理由和期限；技术上暂难删除的情形，也不等于可以继续任意使用。
决定不接受部分请求时，说明理由，并提供相应的权利行使途径。是否适用某项保留义务存在疑问，应交机构相关责任人员核实，而不是让软件凭分数自动决定。
找资料时，不只看主报告
按请求范围核对答卷、报告、开放回答、关联标识，以及必要范围内的副本、缓存、受托处理资料与备份安排。哪些可以直接处理，哪些需要通知相关方协助，列清责任与进度。
备份中的处理方式与恢复后的防止重新出现安排，也需要与服务方确认。尚未完成的部分如实说明，不把主系统中不可见说成所有副本已经消除。
必要的处理记录与完整心理资料不是一回事。记录保留什么、为了什么、保存多久，应有相应依据并尽量减少个人信息。不能为了证明删除而重新保留整份答卷。
哈希标识不等于匿名
去掉姓名或把编号做哈希处理，仍可能通过其他资料关联到本人。个人信息保护法第七十三条区分去标识化与匿名化；匿名化要求无法识别特定自然人且不能复原。仅凭使用了某种技术名称，不能保证达到这个结果。
如果机构仍需通过记录处理申诉或核对请求，就应如实认识其中可能保留的可识别性，并按适用规则保护，而不是宣称“绝对无法识别”。
处理结束后，向申请人说明已处理范围、仍保留或待处理的部分及原因，以及后续联系办法。删除历史资料可能影响再次查看旧报告，相关影响可以提前说明，但不应任意设置阻碍权利行使的等待期。清楚、准确的答复，比一句泛泛的“数据已经清空”更有用。