EAP 项目把自恋人格量表（NPI-56）的个人分数汇总成“领导力画像”，再同步给管理层做人才盘点，这一步操作里，隐私红线具体是在哪一环被越过的？
授权范围先被越过
员工报名 EAP 心理支持服务时，同意的用途通常是“个人心理健康支持”，不是“人才评估”。NPI-56 是自陈式特质量表，测的是权威感、炫耀欲等维度的倾向强弱，既没有经过效度验证可以拿来做领导力选拔，也不是人格障碍的诊断工具，把它挪用去生成管理层可见的“画像”，本身就已经超出了员工最初同意的那份授权范围。任何超出原始授权的二次使用，都应该重新征得员工明确同意，而不是默认“反正是员工的心理测评数据，机构可以随便调用”。
谁能看到个体分数才是关键
真正的红线不在“测没测”，而在“谁能看到具体是谁测出了什么分数”。如果 EAP 报告能追溯到具体姓名，又直接摆在管理层的人才评估会议桌面上，这就等于把原本承诺保密的心理服务数据，变成了绩效和晋升讨论的素材。合规的处理方式是只输出去标识化的团体聚合特征，比如某个部门整体在某个维度上的分布趋势，而不是能对应到个人的排名或画像。
EAP 的角色定位不该被反转
EAP 能起作用的前提，是员工相信“我说的、我测的，不会被反过来用来评价我”。这份信任一旦被“领导力画像”打破，员工在后续服务里会本能地防御性作答，测评数据也会随之失去参考价值。机构如果确实需要做管理层发展项目，应该另立一个独立于 EAP 的项目名义，用专门设计、经过效度验证的领导力测评工具，并单独获得同意，而不是把 EAP 收集来的数据直接挪用过去。第三方外包 EAP 供应商的情况更需要留意：企业和供应商之间的数据共享条款，本身也要接受同样的审视，不能因为“数据在供应商手里”就默认企业内部可以随意调取。
技术层面，具备权限分级能力的测评系统能在一定程度上帮机构守住这条线：比如橙星云这类平台可以按角色设置数据访问权限，让 HR 只看聚合报表、不接触个人原始分数，从制度设计上压缩数据被挪用的空间，但制度设计终究只是工具，真正的红线还是要靠机构自己先划清楚“EAP 数据不进人才评估会议”这条原则，系统权限只是让这条原则更难被绕过。
员工发现这种做法可以怎样应对
如果在参加 EAP 服务过程中隐约感觉到测评结果被挪用了，比较直接的做法是向服务提供方或人事部门当面确认数据使用范围，问清楚“这份报告除了我自己，还会给谁看、用在什么场景”。多数正规 EAP 合同都会写明数据用途和保密条款，员工有权要求出示这部分说明，而不是被动接受“反正测了就归公司”这种默认设定。一旦确认数据确实用在了未经同意的评估场景，可以要求停止使用并保留书面沟通记录，这既是保护自己，也是提醒机构这条边界不能被随意突破。
一家机构如果习惯性地把心理支持类数据挪用到人事决策里，损失的不只是某一次测评的公信力，而是整个 EAP 项目在员工心里的可信度。员工一旦形成“测了会被看”的印象，后续换成再严谨的保密条款，都很难让真实的求助行为再次发生，这才是这类隐私越界最长期的代价。