企业公示奖金名单，本来只需要让员工核对获奖人员和金额，却把完整身份证号、手机号一并发进数百人的群，甚至放到对外网页。员工可以质疑信息处理范围，而不必在保护个人信息和领取奖金之间二选一。处理重点是说明哪些字段、向哪些人公开、公开目的是什么，以及有没有合法必要的依据。
内部核对需要，不等于任何信息都能公开
个人信息保护法要求处理目的明确合理，范围与目的直接相关，并采用对个人权益影响较小的方式。依法开展必要的人力资源管理可以具有相应处理依据，但这不意味着企业能够把原本用于入职、报税或发薪的全部资料用于公开宣传。
例如区分同名员工，可以考虑内部工号、适当遮挡的信息及限定查看权限，不一定需要向所有人展示完整身份证号码和联系电话。奖金管理人员确需核对身份，与将身份数据转发至客户群、公开网站，是不同范围的处理活动，需分别审查。
先固定传播情况，再要求有针对性的纠正
保存通知内容、发送账号、时间、群成员范围或页面地址，以及能够证明本人信息被包含的材料。取证时也应控制他人信息范围，不要为了投诉把整张未遮挡名单继续发布到网络。可以向企业提出删除或遮挡过度公开字段、撤回不必要的外发、限制访问并说明处理结果等具体请求。
对方主张已经取得同意的，应核对同意覆盖何种信息、目的与接收范围。概括的入职签字、领取奖金签收，并不当然证明员工同意把完整身份证号公开。涉及公开个人信息等处理，还应依法审查相应同意要求及其他法定处理依据，不能只以“大家都这么做”代替判断。
保护信息，不等于要求销毁全部工资档案
企业依法保存工资、税务和劳动管理资料，与在不必要范围公开展示，应当分开。员工可以要求纠正违法公开，并不意味着所有依法需要保存的后台记录必须一并删除。用人单位应根据保存义务、目的和期限妥善保管，在适当情况下限制其他处理，而不是借“删除名单”顺便否认已经形成的奖金记录。
原江北区域的员工准备材料时，可以分别保存奖金条件、名单和信息披露记录。奖金是否应付按约定、制度和履行情况判断；信息处理是否合法按另一套事实判断。请求停止过度披露，不应被直接解释为放弃奖金，企业也不能以员工投诉为由任意扣减已经依法取得的劳动报酬。
发生实际损失时，说明损害与披露的联系
遭遇骚扰、冒用身份等情况，应保存时间、内容和相关报案或处理材料，并说明与此次披露的关联。赔偿数额不能仅凭身份证号出现过就任意推定；停止侵害、消除影响和损失赔偿等请求，应结合行为与证据分别提出。向有关主管部门反映或通过司法途径处理时，也应使用必要且经过适当保护的材料。
企业能够及时撤回外发、完成遮挡、明确查看权限并反馈结果，可以减少继续扩散。整改的目标是让奖金核对能够正常进行，同时将员工不必要暴露的身份信息收回到合理范围。