1. 跟踪一条信息的流向
追踪一笔订单或一份求职申请，从收集到删除经过哪些位置。列出邮件、表格、共享盘、业务聊天账号和供应商系统。记录数据类别，不要将真实客户资料复制到规划文件。
形成结果：列明目的、系统、接收方及负责人的数据流程图。
2. 检查真正需要的信息
说明每个收集字段的用途。旧表格中存在的字段未必仍有必要。比较实际用途与个人看到的隐私通知，发现差异后先调查，再考虑扩大收集。
形成结果：需要保留、解释、改为可选或经审查删除的字段清单。
3. 明确访问权限和责任
识别每个流程的负责人及可访问记录的人员。检查共享文件夹、离职人员账号及外部协作者权限。适当时使用企业可控制的账号，并明确谁批准权限变更。
形成结果：附负责人和审查日期的访问清单。
4. 审查供应商及数据位置
列出邮件、薪资、招聘、云存储及配送服务商。询问处理内容、处理地点、其他接收方和服务终止后的安排。记录尚未解决的问题，不要把通用隐私政策视为满足所有要求的证据。
形成结果：包括用途、联系方式、相关条款及待跟进问题的供应商登记表。
5. 确定记录何时可以删除
按用途归类记录，识别业务及法律保存理由。设定审查或删除触发点，涵盖导出文件、重复表格及离职账号。在承诺具体期限前，检查备份和供应商系统对删除的影响。
形成结果：列明理由、负责人、触发点及需进一步咨询的例外的保存计划。
6. 为请求和失误做好准备
设定隐私请求渠道，并让员工学会识别请求。记录接收时间、问题、适度身份核实、适用期限及回复。对于疑似事件，明确上报对象、限制进一步暴露及保留证据的方法，并及时在适当支持下评估通知义务。
形成结果：请求处理流程和简短的事件上报清单。
7. 与团队一起测试
模拟客户要求更正记录和邮件误发的情景。团队能否找到涉及的系统及决策人？记录不清楚的步骤、安排改进，并在工具、供应商、市场或活动改变时重新审查。
形成结果：经过测试的行动计划，而不只是一叠政策。
为下个月选择三项行动
每项行动记录差距、负责人、可行的完成日期及完成证据。按潜在损害和实际数据用途排序。首月可先完成数据图、权限审查和明确的隐私联系安排。更复杂或风险较高的处理需要专门评估。
官方参考资料
马来西亚个人数据保护局提供个人数据保护原则及隐私通知要求的说明。涉及其他亚太市场时，也应检查当地规则。本清单提供实用规划建议，不决定您的企业适用哪些法定义务。