敏感屏幕截图和 PDF 的隐私清单

屏幕截图记录的不仅仅是屏幕中央的主题。帐户菜单显示姓名和电子邮件地址，通知显示不相关的对话，URL 包含标识符，QR 码可以编码访问令牌。当长屏幕截图延伸到多个屏幕时，捕捉到被忽视的细节的机会就会增加。将该图像转换为 PDF 使其更易于传播，但其本身并不会使信息更安全。

本指南为准备收据、仪表板、支持记录、研究材料和内部文档的人员提供了实用的隐私工作流程。这不是法律建议。处理健康、教育、财务、就业或儿童数据的组织也应遵循自己的保留、访问和事件响应要求。

采集前对材料进行分类

问三个问题：存在哪些信息，谁真正需要它，以及它必须存在多长时间？公共网页内容与经过身份验证的计费屏幕具有不同的风险状况。包含客户地址、员工标识符或私人对话的文档不应仅仅因为它在浏览器中可见而被视为普通插图。

确定最小必要区域。如果目的是证明总计，您可能不需要完整的帐户历史记录。如果目的是记录用户界面错误，请尽可能使用合成数据创建一个测试帐户。数据最小化比捕获后试图找到并覆盖每个秘密更可靠。

准备干净的捕获环境

关闭消息应用程序、隐藏桌面通知并从视图中删除不相关的选项卡。使用专用的浏览器配置文件或测试帐户进行重复的文档工作。检查浏览器工具栏、书签、头像、帐户切换器和自动填充提示。全页网页工具通常捕获页面内容而不是整个桌面，但页面级通知和菜单仍然可以出现。

查看 URL。查询参数可能包含电子邮件地址、订单标识符、搜索词或临时令牌。当不需要确切的私有 URL 时，请单独记录清理后的规范 URL。切勿在未确认结果的情况下以改变页面状态的方式编辑地址。

了解高风险数据模式

直观地搜索密码、恢复短语、一次性代码、API 密钥、会话令牌、完整支付卡号、银行帐户详细信息、政府标识符、签名、精确的家庭位置、医疗信息和儿童的私人信息。将机器可读的形式（条形码、二维码和磁条表示形式）视为数据，而不是装饰。

间接组合也可以识别某人。即使隐藏姓名，不常见的职位名称、时间戳、城市和个人资料照片也可能足够了。自由文本支持对话尤其危险，因为人们自愿提供表单预期字段之外的详细信息。阅读整个捕获，而不是只扫描明显的标签。

预防胜于编辑

当应用程序允许时，折叠私人面板、切换到屏蔽视图、选择有限的日期范围或使用演示帐户。仅捕获必要的部分。预防措施会在像素进入文件之前将其删除，并减少意外上传或附加未编辑副本的可能性。

不要仅仅为了使页面更易于共享而改变有意义的事实。如果更改状态会破坏记录的目的，请捕获受保护的主文件，创建单独的编辑衍生品，并记录删除的类别。将主控限制为授权存储和用户。

以不可逆转的方式进行编辑

在编辑器中绘制黑色矩形并不自动安全。在分层文档中，矩形可能仍然是可移动注释，原始内容位于其下方。裁剪可能只会改变可见的页面框。模糊可以留下足够的结构来推断名称或代码。安全编辑会删除底层信息并生成扁平化输出。

编辑后，在不同的查看器中打开导出的副本。尝试选择、复制、移动注释、搜索隐藏文本以及检查注释或图层。放大每个修订部分以确保不留下任何边缘。如果源是图像，则拼合编辑像素并验证结果；如果添加了 OCR，请确保隐藏文本不再存在于 OCR 层中。

单独的母版、工作文件和共享副本

对原始捕获、临时工作文件和批准的共享副本使用不同的存储位置或权限。使用中性标识符、日期和状态清楚地命名它们，例如 restricted-master 或 redacted-share。避免在文件名中添加敏感名称或帐号，因为文件名会出现在电子邮件日志、云活动和最近文件列表中。

任务完成后，根据适用的保留规则删除临时导出。清空浏览器选项卡与删除下载的文件、备份、同步副本或消息附件不同。在承诺删除之前了解哪些系统会复制该文件。

谨慎选择加工和储存

了解工具是在浏览器本地处理文件还是将文件上传到服务器。本地处理可以减少对转换提供商的披露，但设备、浏览器扩展、操作系统备份、目标存储和共享渠道仍然很重要。 “本地”并不是一个完整的安全保证。

需要时使用托管设备来保存组织记录。应用设备加密、屏幕锁定、当前浏览器更新和最低权限文件夹访问。对于高度敏感的材料，请遵循批准的工具和数据位置，而不是为了方便而选择消费者服务。不要仅仅为了测试在线转换器是否工作而上传受限数据。

与最少的适当受众分享

在附加文件之前确认收件人，尤其是在电子邮件客户端自动填写地址时。在策略允许的情况下，首选具有过期和下载限制的访问控制链接。根据组织标准使用密码保护或加密传输，并通过单独的批准渠道发送密码。 PDF 密码不能替代控制收件人列表。

说明处理期望：机密、内部、有时间限制或批准发布。要求收件人在适当的时候不要转发，同时认识到标签在技术上无法防止复制。协作结束后删除公共链接，并查看访问日志（如果平台提供）。

将 OCR 视为隐私变更

OCR 使图像文本可搜索、可选择且更易于索引。这提高了可用性，但也可以通过搜索预览、文档索引、数据丢失防护系统或意外复制和粘贴来公开信息。尽可能在 OCR 之前应用密文，然后验证识别的图层不包含受限制的文本。

OCR 不完善。它可能会改变帐号或剂量，从而造成隐私和准确性问题。保留视觉源以供授权验证，并将 OCR 副本标记为衍生品。不要假设搜索未返回结果证明像素中不存在敏感文本。

仔细处理证据和事件记录

如果屏幕截图可能用于争议、审计或调查，请避免默默修改唯一的副本。按照相关程序、文件获取时间和来源保存原件，并对衍生品进行校订。普通 PDF 并不能仅仅因为有页码而变得真实或防篡改。

如果您发现敏感信息已被共享，请停止进一步分发，撤销可访问的链接，通知负责人或安全渠道，并保留响应所需的事实。不要通过删除所发生事件的唯一记录来掩盖错误。遵循组织的事件流程和法律义务。

发送前查看清单

• 捕获仅包含实现所述目的所需的信息。
• 检查了通知、帐户菜单、不相关的选项卡和私人查询参数。
• 审查密码、令牌、支付数据、标识符、地址、签名和代码。
• 密文删除了底层像素和任何 OCR 文本，而不仅仅是可见表面。
• 编辑后的副本在第二个查看器中进行了测试。
• 原始副本和共享副本具有不同的名称和权限。
• 文件名本身不会泄露敏感信息。
• 处理、存储和传输工具已获得数据类别的批准。
• 检查收件人姓名、链接权限、过期和转发风险。
• 临时文件和过时的共享链接具有定义的删除日期。

隐私失败通常发生在工作流程的边缘：自动完成建议、被忽视的二维码或未扁平化的注释。严格的顺序（最小化、准备、捕获、编辑、验证、限制和删除）可以减少这些可避免的错误，同时保持文档对其目标受众有用。