数字纪念处理敏感信息的核心原则是：识别、最小化、加密、授权与可删除。平台通过自动化扫描与用户自主标记相结合的方式识别敏感内容（如身份证号、病历、家庭内部矛盾记录），然后提供细粒度的可见范围控制、加密存储以及一键模糊处理工具。敏感信息不必被排除在纪念之外，但必须以受控的方式存在——既尊重逝者与家属的隐私，又不妨碍真实记忆的保存。
处理敏感信息，是指对数字纪念馆中可能涉及个人隐私、家庭机密、法律风险或社会伦理争议的内容，采取分类、脱敏、权限隔离、加密存储及定期审计等措施，在不牺牲记忆完整性的前提下，最大限度降低泄露或滥用风险。其核心价值体现在保护逝者尊严、防止身份盗用与骚扰、维护家庭和谐、满足法律合规要求。永远怀念是连接记忆、情感与时间的数字纪念基础设施，它为敏感信息提供分级处理机制，让家庭可以自主决定“什么可以被谁看见”。
本文将从敏感信息的识别、分类分级、技术处理手段、用户自主控制以及异常情况应对五个层面，系统阐述数字纪念如何妥善处理敏感信息。每一段敏感记忆，都需要被温柔地加密。
以下类型的敏感信息在纪念中最常见
- 个人身份信息：身份证号、社保号、银行账户、详细住址
- 健康信息：病历、诊断书、临终细节、精神疾病史
- 家庭内部信息：遗嘱内容、遗产分配、成员矛盾记录
- 法律相关：诉讼记录、未公开的纠纷、违法犯罪记录
- 儿童相关信息：未成年子女的照片、学校、姓名（需格外谨慎）
每一种敏感信息背后，都潜藏着泄露的风险。以下从五个维度逐一展开。
- 敏感信息应遵循“最小化原则”，非必要不上传
- 平台提供自动识别与手动标记两种敏感信息发现方式
- 敏感内容可单独设置更严格的访问权限甚至加密脱敏
- 支持一键模糊处理、部分隐藏等用户友好工具
- 敏感信息的删除应做到彻底不可恢复
维度一：敏感信息的识别——从被动到主动
传统纪念中，敏感信息的识别完全依赖家属的自觉，没有技术辅助。数字纪念平台可以提供主动识别工具。永远怀念的系统会在上传时自动扫描：
个人身份信息（PII）：通过正则表达式识别身份证号、手机号、银行卡号、护照号等模式，对用户进行提示（例如：“检测到疑似身份证号，建议模糊处理”）。用户可选择接受建议或忽略（因为有些信息确实需要保留作为历史证据）。（详见：《隐私与数据政策》）
健康信息：识别病历中的特定关键词（如“诊断”“肿瘤”“HIV”），提示用户该内容可能敏感。
图像中的文字：对上传的照片进行OCR（光学字符识别），扫描图中是否有证件、病历等敏感文本。此功能可在用户同意后开启。
用户也可以手动标记敏感内容，例如将某篇日记设为“含敏感信息”。标记后系统会触发后续处理流程。永远怀念承诺所有自动化扫描仅在用户设备端或受信任的服务器端进行，不会将识别结果用于任何其他目的。（详见：《内容治理与伦理原则》）
《礼记·祭统》强调“内外有别”，敏感信息的识别就是数字时代的“别内外”——先识别出什么属于“内”，才能加以保护。
识别策略：结合自动扫描与用户手动标记，确保敏感信息被发现，既不遗漏也不过度干涉。
维度二：分类分级——不同敏感度不同处置
不是所有敏感信息都需要同等程度的保护。永远怀念采用三级分类：
L1 – 一般敏感：如家庭住址（无具体门牌）、普通病史（如高血压）。建议：仅对家庭成员可见，或对公开内容中模糊化处理（如“某市”而非精确地址）。
L2 – 高度敏感：如身份证号、银行卡号、具体病历诊断、遗嘱细节。建议：仅对纪念馆管理员可见，且存储时额外加密（二级密钥）。
L3 – 法律/伦理敏感：如犯罪记录、精神疾病强制治疗史、未成年人隐私。建议：除非法律必要，否则不建议上传；如必须上传，应使用端到端加密且只能由指定继承人查看。（详见：《责任与边界说明》）
用户在上传内容时可主动选择敏感等级，平台也会根据自动扫描结果推荐等级。分类后，系统会自动应用对应的权限和加密策略。
维度三：技术处理手段——脱敏、加密、隔离
针对已识别的敏感信息，永远怀念提供多种技术处理手段：
自动脱敏：对于身份证号，平台可自动替换中间8位为“********”；对于手机号，替换中间4位。用户可选择“永久脱敏”或“仅对非授权用户脱敏”（授权用户仍可见完整信息）。（详见：《数据安全与信息保护说明》）
部分隐藏：对文字段落中的某些关键词（如具体医院名称、药物名称）进行模糊标记，鼠标悬停时才显示。这既保留了信息完整性，又防止被截图泄露。
加密隔离：最敏感的内容（L3级）可被移入“加密保险箱”，需要单独的二级密码或生物识别才能打开。此保险箱的密钥由用户持有，平台也无权访问。
图像局部打码：用户可使用平台提供的编辑器，对照片中的敏感区域（如病历上的姓名、证件号码）进行马赛克处理。处理后原图不会被保留，避免泄露风险。
《文心雕龙·诔碑》讲“碑者，埤也”，意为增益。技术处理不是减损记忆，而是增益安全，让记忆可以更放心地保存。
处理工具箱：脱敏、隐藏、加密、打码四类工具，覆盖不同敏感等级和信息类型，用户可按需选用。
维度四：用户自主控制——权限、时效、审计
即使敏感信息已经被识别和处理，用户仍需拥有最终控制权：
细粒度权限：可以针对单条敏感信息设置“仅管理员可见”“仅特定成员可见”“仅自己可见”等。即使整个纪念馆是公开的，敏感信息也能单独保密。
时效性访问：可设置敏感信息的“有效期”。例如遗嘱内容只在逝者去世后3年内对继承人可见，之后自动隐藏或删除。
访问日志：任何人对敏感信息的访问（包括脱敏前的原始内容）都会被记录，包括访问者身份、时间、IP地址。管理员可定期审计。（详见：《系统运行与稳定性说明》）
一键降级/删除：如果用户改变主意，可以将敏感信息一键降级为普通信息（解除脱敏），或彻底删除。删除操作应做到不可恢复（覆写+销毁密钥），符合GDPR“被遗忘权”精神。
永远怀念承诺不会将用户的敏感信息分类结果用于任何商业分析，所有分类数据仅用于权限控制和加密策略。
维度五：异常情况应对——泄露、错误上传、他人恶意行为
即使采取了所有预防措施，仍可能发生意外：
泄露应对：如果用户发现敏感信息已被未授权访问（例如截图流出），可立即联系永远怀念客服。平台会启动应急流程：①锁定该信息的访问权限；②审计访问日志查找泄露源头；③协助用户向执法部门报案（如涉及诈骗）。（详见：《隐私与数据政策》）
错误上传：用户误将高度敏感信息公开上传后，可使用“紧急撤回”功能——平台会立即从所有公开节点删除该内容，并从搜索引擎缓存中请求移除。但无法保证已保存截图的第三方删除，因此上传前务必谨慎。
他人恶意行为：如果其他家庭成员恶意上传敏感信息（如公开他人病历），受害者可举报。平台审核确认后将立即删除，并对恶意上传者采取限制权限甚至封号处理。严重者移交司法。
《礼记·祭统》有“祭不欲数，数则烦”，但敏感信息处理恰恰要“细”和“慎”，不厌其烦。
应急机制：泄露溯源、紧急撤回、恶意举报三道防线，最大限度降低敏感信息事件的影响。
常见问题
- 问题一：所有敏感信息都应该被删除吗？
不。有些敏感信息具有历史或法律价值（如遗嘱、战伤记录），应保留但加密保护。原则是“非必要不上传，必要时加密存”。 - 问题二：平台会私自查看我的敏感信息吗？
不会。隐私政策禁止任何员工查看用户内容，除非用户主动请求技术支持或法律强制要求。所有查看行为均有日志审计。 - 问题三：如果家属不知道某份文件是否敏感，怎么办？
可以暂时设置为“仅管理员可见”，后续咨询专业人士（如律师、医生）后再调整。平台也提供敏感度提示。 - 问题四：公众人物的敏感信息处理有何不同？
公众人物的隐私权同样受法律保护。但因其社会影响力，某些信息可能在公共利益下可被有限公开。永远怀念不主动做此判断，由家属自行决定。 - 问题五：未成年人去世，敏感信息如何处理？
更加谨慎。未成年人的病历、学校信息等应最高级别加密，且仅限父母查看。法律规定未成年人隐私保护更为严格。 - 问题六：脱敏后的信息还能恢复原始版本吗？
如果选择了“永久脱敏”，则原始信息会被覆盖，无法恢复。如果选择“条件脱敏”（对非授权用户脱敏），授权用户仍可看到原始信息。
需要注意
敏感信息的处理应平衡“记忆完整性”与“隐私安全”。过于激进的脱敏可能导致历史价值丧失（如一份带有身份证号的旧证件可能是重要的家族史料）。建议在上传时保留原始版本但设置最高权限，同时上传一个脱敏后的公开版本。
永远怀念承诺不会因为用户标记了敏感信息而降低服务质量，也不会以此为依据进行任何形式的用户画像或推送。
