设备退役与数据清除：强制国标下的合规动作

GB 46864-2025《数据安全技术 电子产品信息清除技术要求》是我国数据安全领域的首个强制性国家标准，由中央网络安全和信息化委员会办公室提出并归口，国家市场监督管理总局、国家标准化管理委员会于 2025 年 12 月 2 日批准发布，2027 年 1 月 1 日起实施。

它的核心变化是把「清除」从操作习惯变成一个技术判定。用删除文件或恢复出厂设置处理过的设备，被删掉的往往只是数据的索引，原始内容仍留在存储介质里，用专业工具可以读出来。标准要求用随机数、零、一等数据对存储内容做覆盖写入，使原始数据无法通过技术手段恢复。

强制性标准与推荐性标准的差别在这里很关键。推荐性标准可以「参考执行」，强制性标准必须执行。监管部门会检查督促，不符合强制标准要求的行为可能面临处罚，这与过去「恢复出厂设置就卖了」的做法是完全不同的性质。

标准对生产厂商提出了要求，需要为产品提供用户可操作的清除功能，或者提供免费的信息清除工具与服务。对回收经营者则划出了底线，必须对二手电子产品执行信息清除，未经有效清除的设备不得再销售，也不得运输出境。

企业的位置容易被忽略。企业既是设备的持有者，也是设备上数据的处理者。以旧换新、报废、租赁归还、直接卖给回收商，只要设备离开了企业的控制范围，设备里承载的客户资料、员工个人信息与业务数据就进入了流通环节。

《中华人民共和国个人信息保护法》要求个人信息处理者在处理目的已实现、无法实现或者为保存期限届满等情形下主动删除个人信息。这项义务的对象是数据处理行为本身，不会因为设备换了个存放位置而消失。

2026 年 9 月 15 日，全国网络安全标准化技术委员会秘书处发布 3 项网络安全标准实践指南（网安秘字〔2026〕116号），专门配套这项强制国标落地。其中《半导体存储介质块擦除技术指引》面向存储芯片厂商，《电子产品回收过程中的信息清除管理指引》面向回收环节，《移动智能终端信息清除技术指引》面向手机等移动终端。

同一天，2026 年国家网络安全宣传周电子产品信息清除分论坛发布了电子产品信息清除公共服务平台，并由中国电子技术标准化研究院牵头，联合生产制造企业、回收平台与第三方机构共同发起行业自律倡议。

对企业的实际含义是，设备退役不再只有「卖给谁」这一个问题，还多了「凭什么证明清干净了」。清除动作在前端，查验动作在后端，而中间那份凭证需要企业自己留。

大企业处置设备通常有资产管理部门和流程，中小企业没有。淘汰的电脑堆在仓库、随手让员工带走、直接卖给楼下的回收点，这三种做法在中小企业里都很常见，共同点是没有人对「数据去哪了」负责。

高频触发点有三个。员工离职交回笔记本和手机，设备里往往还留着客户名单与业务邮件；批量以旧换新换下来的办公电脑数量多、处理快，最容易被整批打包卖掉；租赁到期归还的打印机、网络设备与办公终端，归还前的清除动作几乎没人安排。

设备更新与以旧换新推动下换机量上升，处置环节的暴露面同步放大。这类事件的特点是不出则已，出了就是数据泄露，而重大的网络和数据安全事件会直接影响专精特新资格的存续。

需要现在动的原因不是担心被罚，而是这类流程改造要先有台账才能落地，而台账不是一天能补出来的。设备在哪、谁在用、有没有存储介质，这些信息缺失时，退役环节一定会漏。

接下来要把清除方式固定下来。能用覆盖写入工具做的用工具做，无法清除或已经损坏的存储介质走物理销毁，不要为了省事让它们直接流入二手渠道。

最后是把凭证留下来，谁清的、用什么方法、什么时间、清到什么程度。这份记录在客户审核、合规检查与设备退租对账时都会用到，也是企业唯一能拿出来证明自己履行了义务的东西。