2026年5月，国家安全部公号发文：有单位买来一块“新”硬盘，检测时却发现里面存着党政机关、高校和银行的内部文件。倒查下去，这些文件来自一台旧办公电脑——原主人只做了两件事：清空回收站、快速格式化，然后把电脑当废品卖了。
很多人以为，点下“删除”、把文件拖进回收站，文件就没了。事实是，删除通常只是让系统在文件目录上划掉一个名字，内容还完整地躺在硬盘里。用常见的数据恢复软件，快则几分钟就能把内容找回来。
2025年12月，强制性国家标准《数据安全技术 电子产品信息清除技术要求》批准发布，2027年1月1日起实施。标准明确要求：电子产品转售前必须用合规工具清除信息，无法用软件清除的要物理销毁，清除和验证记录至少留存三年，未经清除的产品不得转售或出境。
2026年10月8日起，安徽省安述心理咨询中心将正式启用一套覆盖档案“全生命周期”的保密措施：
• 档案保存期间，使用 VeraCrypt 软件进行加密；
• 到期需要销毁的文件，存储在机械硬盘（HDD）上的，使用 Eraser 软件按 US DoD 5220.22-M 标准覆写；
• 到期需要销毁的文件，存储在固态硬盘（SSD）上的，使用硬盘厂商官方工具执行安全擦除。
下面我们就把这三件事给说清楚：它们是什么，为什么这样做，如果不做，又会发生什么。
心理咨询档案，为什么要用如此规格的保护
相信每个心理咨询师都知道，走进咨询室的人，交托给我们的是什么？是情绪困扰、家庭矛盾、成长经历，有时还有从未对任何人讲过的创伤。
《中华人民共和国个人信息保护法》第二十八条把“医疗健康”明确列为敏感个人信息，规定只有在具有特定的目的和充分的必要性，并采取严格保护措施的情形下，方可处理。
《中华人民共和国精神卫生法》第二十三条规定，心理咨询人员应当尊重接受咨询人员的隐私，并为其保守秘密。中国心理学会《临床与咨询心理学工作伦理守则（第二版）》要求：个案记录、测验资料、信件、录音和录像，必须在严格保密的条件下创建、使用、保存、传递和处理；来访者有权了解记录的保存方式与接触权限。
除此之外，我们也应该先把自己的规矩立起来。2026年8月1日，我中心正式发布《安徽省安述心理咨询中心心理咨询专业伦理守则（第一版）》（安述心理〔2026〕7号，以下简称“守则”），自2026年9月1日起施行。守则共十三章、一百零五条，确立了善行、责任、诚信、公正、尊重五项基本伦理原则，从专业关系、知情同意、隐私保密与档案管理，到专业胜任力、远程服务、媒体传播和违规处理，对执业行为作出全面约束。本文介绍的加密与擦除措施，正是守则第四章“隐私权、保密性与档案管理”的具体落地举措。
在我们看来，保密还不单只是“合规”两个字。心理咨询起效的前提，是来访者敢说真话；敢说真话的前提，是来访者能确认这些真话不会被第三个人知道。档案保护的每一道工序，最终守护的都是这份沉甸甸的信任。
档案“在世”时：VeraCrypt 给它上了一把没有万能钥匙的锁
先说档案保存期间的保护。
我们即将启用的 VeraCrypt 是一款开源的磁盘加密软件，脱胎于曾经广泛使用的 TrueCrypt，由国际安全团队长期维护，至今仍在持续更新，支持 Windows、macOS 和 Linux。
它的工作方式可以这样理解：在电脑中生成一个特殊的加密文件，像一只保险柜。档案放进柜中、锁好之后，柜外的人看到的只是一团无法解读的乱码；只有输入正确密码，把保险柜“挂载”出来，才能正常读写。读写过程中，文件在内存里解密、落盘前自动加密。
VeraCrypt的几个关键参数，可以说明这把锁的可靠程度。
• 算法：默认采用 AES-256，在 XTS 模式下工作。AES 是目前全球应用最广的对称加密标准之一，被各国政府、金融机构和主流云服务采用；256位密钥对应的组合空间是天文数字，靠穷举暴力破解在现实中不具备可行性。软件同时提供 Serpent、Twofish 等算法及多种算法级联供选择。
• 密钥派生：用户密码并不直接参与加密，而是经过高迭代次数的密钥派生函数处理——系统加密默认迭代20万次，新版本还支持 Argon2id。即使有人拿到加密文件、用显卡高速猜解密码，速度也会被压到极低。
• 开源与审计：源代码完全公开，任何人都可以检查。2016年，开源技术改进基金会（OSTIF）资助安全公司 QuarksLab 对 VeraCrypt 进行独立安全审计，发现的问题在随后发布的版本中修复，审计报告至今公开可查。这种“被全世界盯着”的机制，恰恰是闭源软件难以提供的信任基础。
• 纵深设计：软件支持隐藏卷功能，可在加密盘内部再建立一个无法从外部证明其存在的空间，用于应对极端胁迫场景。日常业务中我们未必用到，但它体现了防护设计上的纵深。
加密保护的是“静态数据”——电脑丢失、硬盘被拆走时，别人无法读取到内容。它不替代访问权限管理、人员保密培训和操作规范。守则第三十七条、第三十八条对此也有明确要求：电子档案加密存储、访问权限控制、操作留痕，纸质档案专柜上锁、专人管理；行政、信息技术等可能接触档案的辅助人员须签订保密协议，并采取脱敏、权限限制等措施；人员离职、岗位变动时，及时完成资料交接和权限回收。这些工作与加密措施共同执行，缺一不可。
当咨询档案“到期”时——
1. 机械硬盘：Eraser 按 DoD 5220.22-M 三遍覆写
档案不会永远保存。守则第四十一条明确了档案的保存期限：专业服务关系结束后，咨询档案至少保存五年；涉及未成年人的，保存期限自其成年之日起不少于三年，且总计不少于五年。当保存期限届满、处理目的已经实现，按照《个人信息保护法》第四十七条，我们应当主动删除相关个人信息；守则同时要求，档案到期销毁应当按照保密要求实施，并制作销毁记录。但前面说过，普通删除并不等于销毁。
对存储在机械硬盘（HDD）上，又需要销毁的文件，我们将使用 Eraser 软件执行覆写。Eraser 是用于 Windows 平台的一款开源软件（GPL 许可），支持擦除文件、文件夹、回收站内容以及磁盘未分配空间，可以设置定时任务，并集成在右键菜单中。
我们选用的擦除标准是 US DoD 5220.22-M。它源自美国国防部1995年《国家工业安全项目操作手册》中的介质处置规范，在此后很长时间里是硬盘数据擦除领域的事实标准。经典流程为三遍覆写：
1.第一遍，写入二进制 0（0x00）；
2.第二遍，写入二进制 1（0xFF）；
3.第三遍，写入随机字符，并对最后一遍结果进行校验。
打个比方：普通删除像把书的目录撕掉，书页还在；覆写则是用新内容把每一页逐行抄满，原来的文字被实实在在地盖住。
DoD 5220.22-M 是一套擦除方法标准，美国现行的权威介质处置指南 NIST SP 800-88 指出：对于现代硬盘，单遍覆写即足以抵御常规的软件恢复，多遍覆写并非必需。换句话说，三遍法不是“最低要求”，而是一种经典、保守、超出现行最低要求的做法。我们选择它，是因为心理咨询档案的敏感程度，值得用更为稳妥的冗余设置。
2. 固态硬盘：为什么必须换一种方法
同样是擦除，固态硬盘（SSD）不能照搬覆写——这是它的物理结构决定的。
机械硬盘像唱片，数据写在固定的磁道上，系统说写哪里，磁头就去哪里。固态硬盘完全不同：它内部有一个称为 FTL 的控制器，负责磨损均衡，因为闪存单元有写入寿命，控制器会让数据在各个单元之间轮换存放；硬盘还保留一部分操作系统看不见的过度配置空间；再加上 TRIM 机制和自动垃圾回收，系统以为自己在覆写某个文件，实际写入的物理位置可能已经换了，更无法保证触及那些看不见的备用单元。
所以，在操作系统层面对 SSD 做软件覆写，结果并不可靠。
正确的方式，是向硬盘固件下达擦除指令：SATA 硬盘对应 ATA Secure Erase，NVMe 硬盘对应 Format/Sanitize 指令。这类指令由硬盘自身执行，可以覆盖包括过度配置区域在内的全部存储单元；如果硬盘本身加密，还可以执行“加密擦除”，瞬间销毁加密密钥，使全盘数据不可解读。这些方式在 NIST SP 800-88 中对应“Purge”级别。
而这类指令最稳妥的执行途径，就是硬盘厂商提供的官方工具——例如三星硬盘使用 Samsung Magician，其他品牌使用各自的官方软件，整机自带的 OEM 硬盘则使用电脑厂商工具。厂商工具最了解自家硬盘的固件逻辑，也能避免第三方软件误操作的风险。
如果不这么做，风险在哪里
现在，让我们把技术细节放下，一起来把“不做”这些的代价讲明白。
技术层面，删除、快速格式化、重装系统，都挡不住数据恢复。硬盘一旦维修、转赠、变卖或丢失，档案可能在当事人完全不知情的情况下被复原。
法律层面，《个人信息保护法》第五十一条要求处理者采取加密、去标识化等安全技术措施；第五十五条规定，处理敏感个人信息前应当事前进行个人信息保护影响评估。第六十六条明确，违法处理个人信息的，可责令改正、警告、没收违法所得，拒不改正的可处一百万元以下罚款，直接责任人员同时受罚；情节严重的，处罚上限还会大幅提高。
对来访者的伤害层面，这是我们最在意的的地方。心理咨询档案泄露不同于普通信息泄露，它可能暴露一个人最脆弱的经历，波及家庭关系、职业发展和社会评价，由此造成的二次伤害往往无法事后弥补。
对行业信任层面，心理咨询行业靠口碑立身，一次保密事故伤害的不只是一位来访者，而是公众对“这里到底安不安全”的整体判断。
把档案管理的四个环节对照来看，常见处置办法与我们之间的差异其实一目了然。
在档案保存环节，明文存放意味着电脑一旦丢失、被借用或被入侵，档案可直接打开，在当下AI高速发展、走向技术平权的时代背景下，这种风险只会越来越高；我们的做法是采用 VeraCrypt 加密保存，没有密码与密钥文件便不可读取。在删除文件环节，清空回收站、快速格式化之后，内容仍能被恢复软件找回；我们对 HDD 按 DoD 5220.22-M 标准三遍覆写并校验。
在 SSD 处置环节，普通覆写软件受磨损均衡和过度配置影响，无法保证擦净；我们使用厂商官方工具执行固件级安全擦除，覆盖全部存储单元。在设备流转环节，旧电脑、旧硬盘直接变卖丢弃，数据就可能随设备外流，正如前述国家安全部通报的案例；我们在擦除验证通过后才允许设备流转，并留存擦除与验证记录，全程可追溯。
我们也想坦诚保密的“边界”
保密不是一句无条件的承诺，负责任的做法是把例外说在前面。
守则第三十三条对保密例外作出了明确规定，包括：经来访者书面同意披露；来访者存在可合理预见的自杀、自伤、伤害他人或危害公共安全的现实危险；发现未成年人遭受或疑似遭受性侵害、虐待、遗弃、拐卖、家庭暴力、学生欺凌等不法侵害；发现无民事行为能力人、限制民事行为能力人遭受或疑似遭受家庭暴力；以及法律、法规规定应当披露或报告的其他情形。出现这些情况，咨询师有责任依照最小必要原则打破保密，向相关方预警或报告——这不是违背承诺，而是保护生命和弱势方。这些例外，我们会在咨询开始前就向来访者讲清楚。
同样要说明的是，加密和擦除是保密体系的一部分，不是全部。档案的接触权限、密码的分级保管、工作人员的保密协议与培训、工作环境的物理管理，共同构成完整的保密链条。
为了让守则不只是纸面规定，中心设立伦理工作组，负责守则解释、伦理培训、投诉受理与调查、违规认定和处理建议；暂不具备设立条件时，由合伙人会议代行职责，形成持续监管覆盖。中心在服务场所和官方平台公示投诉举报受理渠道，伦理工作组收到投诉后，三十日内作出是否受理的决定并告知投诉人。每一位心理咨询人员在入职或建立合作关系前，都必须签署《心理咨询人员伦理承诺书》。
说到底，来访者的保密不该靠运气
“尊重、包容、专业、保密”不是挂在中心墙上的八个字。一份心理咨询档案从开始记录的那一刻起，直到被安全销毁为止，每一步都应有确定的答案：谁能看，存在哪，怎么锁，到期后怎样让它彻底消失。我们把这些“后台”工作公开讲出来，是想让“这里是安全的”成为一件可以被检验的事，而不单单只是一句好听的话。
把心里的话安心地说出来，保密的事就交给我们——这是每一家专业心理咨询机构的本分。
安徽省安述心理咨询中心 · 合肥
