心理测评数据导出最容易被低估。系统内权限设置再细，只要完整数据被导成表格发出去，后续传播就很难控制。
导出审批要回答四个问题：导出哪些字段，为什么导出，给谁使用，保存多久。
字段范围要按用途最小化
项目复盘需要完成率和趋势，不一定需要个人姓名。专业服务需要个体报告，也不一定需要所有组织字段。管理汇报需要汇总，不应拿到敏感明细。
导出前先写明用途，再反推字段。用途越具体，字段越容易缩小。
数据权限边界可参考 咨询机构多人协作保护隐私。脱敏和导出审批应放在同一套规则里。
字段范围还要区分原始分、维度分、报告文字、联系方式和服务记录。不同字段敏感程度不同，审批等级也应不同。
涉及风险备注、访谈记录和联系方式时，应提高审批级别。脱敏汇总和项目进度表，可以使用更轻的审批流程。
接收对象要可追踪
导出数据给内部同事、外部服务方、学校院系、企业部门或项目甲方，风险不同。审批记录里要写清接收人、接收范围和使用责任。
如果数据需要二次加工，也要记录加工后是否继续保留原始明细。很多泄露风险发生在转发和二次整理中。
橙星云用于机构测评时，可以在系统内控制查看、导出和日志。机构仍要建立自己的审批制度，系统规则和组织制度要配合。
留存时间要提前写明
导出的数据不应无限期保存。项目结束、报告交付、复盘完成后，哪些文件需要删除，哪些需要归档，应该提前约定。
留存时间也和数据类型有关。脱敏汇总可以保留更久，个人明细和风险备注要更谨慎。
导出审批还应记录文件存放位置。个人电脑、网盘、邮箱附件、聊天工具中的文件，安全程度不同。
审批通过后，还应约定到期处理。删除、归档、续期保存，都要有人负责，不能让导出文件长期无人管理。
外部服务方使用导出数据时，还要写清二次转发限制。数据离开机构后，责任边界要提前确认。
导出审批还应包含撤回机制。发现导出范围过宽或接收对象变化时，机构要知道如何停止使用和回收文件。
审批表要能复用
机构可以把导出审批表固定下来：申请人、项目名称、字段范围、使用目的、接收对象、脱敏方式、保存期限和审批人。每次按同一张表填写，后续审计会更清楚。
审批表也能提醒申请人减少字段。很多导出需求在填写用途时，就会发现只需要汇总数据，不需要个人明细。
操作日志用于复盘和追责
谁导出了什么，什么时候导出，导出给谁，是否经过审批，都要留痕。没有日志，后续发现问题时很难追溯。
系统上线前也要测试导出日志，并把结果写入 心理测评项目复盘会 这类项目记录里，确认日志可以追溯。
心理测评数据导出审批的核心，是减少不必要的数据流动。字段少一点，范围小一点，记录清楚一点，机构的数据风险就会低很多。