实名认证记录要保存多久？核验数据留存的合规与工程实践

接了实名认证接口的团队，迟早会遇到这个问题：核验记录要不要存？存多久？存了出泄露算谁的？ 这篇文章把核验数据留存的合规要求、工程实践和常见误区一次讲清。

一、先分清三类数据，留存规则完全不同

核验一次产生的数据不是一个东西，而是三层，留存策略要分开设计：

数据层	内容	敏感度	留存建议

核验结果	请求 ID、时间戳、返回码（一致/不一致）	低	可长期留存（业务档案同周期）
提交的原文	用户提交的姓名、身份证号全文	高	用完即脱敏，业务必需才完整留存
附加采集	人脸照片、活体视频、手机号	很高	默认不留存，约定销毁期

最容易出事的是第三层：人脸照片属于敏感个人信息中的生物识别信息，《个人信息保护法》对其处理有单独同意和严格限制——核验完成后继续存储人脸原图，需要非常充分的业务理由，"以防万一"不是理由。

二、留存期限：跟着业务档案走，而不是拍脑袋

核验结果记录的留存期，取决于你的行业：

金融/信贷：与贷款档案同周期（结清后数年），监管检查和纠纷取证都需要；

教育/医疗：与学籍、诊疗档案同周期；

电商/一般互联网：与用户账户生命周期一致，注销后按内部数据保留政策处理；

游戏防沉迷：按监管要求留存核验记录备查。

通用原则：核验记录是业务档案的组成部分，跟着业务档案走；没有明确行业要求的，建议 3 年起步——低于这个周期，遇到用户投诉、监管抽查、司法取证时会拿不出证据。

三、工程实践：留存期间的正确姿势

留存 ≠ 明文躺着。留存期间的标准动作：

1. 全程脱敏存储：业务库里身份证号只存脱敏形态（前 6 后 4，如 110101**1234），完整号码只在核验环节瞬时使用、加密存储于独立区域——业务系统永远不需要看到完整证件号**。

2. 查询留审计日志：谁、何时、查了谁的核验记录——审计日志是数据泄露事件追溯的唯一手段，也是监管检查时自证合规的核心材料。

3. 到期销毁机制：留存期届满的记录要有自动销毁流程（物理删除或加密密钥销毁），而不是"躺在备份里直到泄露"。销毁动作本身也要留痕。

4. 与服务商的数据约定对齐：你本地留存 N 年，服务商侧是否也在留存你的请求参数？开通时确认服务商的数据处理条款（留存期、销毁承诺、是否用于其他用途）——你的合规链条包含服务商那一环。

四、常见误区

误区一："存得越久越安全"——留存本身是风险敞口。存一份你用不到的数据，等于替黑产保管资产。最小必要原则：用不到的别存，到期该删就删。

误区二："我们没存人脸，服务商存"——数据委托处理的责任主体仍然是你（个人信息处理者）。服务商的数据政策不豁免你的合规义务，所以选服务商时要审它的数据条款（见《实名认证接口哪家好》的维度一）。

误区三："脱敏了就不用加密"——脱敏数据 + 未加密传输 = 等于没脱。脱敏解决"看"的问题，加密解决"偷"的问题，两层都要。

五、留存合规自查清单

□ 三层数据分离：结果/原文/附加采集，策略不同
□ 人脸等生物信息：默认不留存，约定销毁期 □ 留存期：跟行业档案周期，无明确要求 3 年起步 □ 脱敏存储：业务库前6后4，完整号独立加密 □ 审计日志：每次查询留痕，可追溯 □ 到期销毁：自动流程 + 销毁留痕 □ 服务商对齐：数据条款纳入供应商审查 □ 传输加密：全链路 HTTPS，敏感字段应用层加密

相关资源

身份证实名认证接口：开通时提供数据处理条款

供应商选型 5 维度：数据合规是一票否决项

批量核验并发指南：批量场景的结果分级处理

通用接入规范

本文为一般性工程实践参考，具体行业的法定留存期限以监管规定为准。