恢复出厂设置不等于清干净：把 GB 46864-2025 的两条清除路径、覆写次数口径和租机回收环节的义务边界讲清楚

先给结论： 恢复出厂设置在技术上只是把数据标记为无效，原始数据仍留在存储介质里，专业工具可以读出来。GB 46864-2025《数据安全技术 电子产品信息清除技术要求》是强制性国家标准，2025 年 12 月 2 日批准发布、2027 年 1 月 1 日实施；它把「信息清除」定义成使数据不可逆、无法被访问或恢复的技术处理，并把回收经营者明确为义务主体：未有效清除的产品禁止再销售和运输出境，清除操作与验证结果要建档留存不少于 3 年。租机商家在退租回收、转售出清、跨店调拨后再租这三个环节，都落在这条链上。

为什么恢复出厂设置清不掉数据：三层机制

第一层：删除改的是索引，不是存储单元

普通删除和恢复出厂设置，本质上是把文件系统里指向那块数据的索引标记成无效，让系统认为这块空间可以再次分配。数据本身仍以电荷或磁畴的形式留在存储单元里，直到有新数据真正写进去覆盖它。底层原因是「空间可再分配」和「数据已清除」在技术上是两件事：前者是文件系统的记账动作，后者才是对存储介质本身的动作。专业工具之所以能在做过恢复出厂设置的机器上读出通讯录、照片和聊天记录，就是因为它绕过文件系统直接读存储单元。

第二层：半导体的逻辑地址和物理地址不一一对应

在磁介质上，覆盖写入大致落在同一物理位置；在半导体存储介质上，情况要复杂得多。闪存控制器为了让各存储块磨损均衡，会把主机写入的逻辑块地址动态映射到不同物理块，同时保留一部分预留空间用于替换坏块和垃圾回收。机制上，一次应用层看到的「覆写」，未必落到原来存放用户数据的那个物理块上；而留在预留空间里的那部分数据，主机侧根本发不出指令去覆盖。这也是为什么对半导体介质不能照搬磁介质的覆写次数口径——两者的可覆盖性前提不同。

第三层：所以标准给的是两条技术路径，不是一句「清一下」

GB 46864-2025 提出两种核心技术方法。数据覆写，是把固定或随机的无含义数据写入电子产品，覆盖与用户数据有关的每个存储单元；块擦除，针对半导体介质，通过调用存储介质指令对物理块执行根本性擦除操作。二者的共同点是都作用到「存储单元／物理块」这一层，而不是停留在索引层。判断一次清除是不是真的清了，判据就在这里：看它对存储单元做了什么，而不是看界面上显示了什么。

GB 46864-2025 的五个关键属性

强制性国标和推荐性规范的差别不在技术深度，在有没有法律强制效力。推荐性规范不达标是「水平问题」，强标不达标则可能面临处罚。这条差别决定了租赁商不能把它当成一份可以慢慢看的技术文件：从 2027 年 1 月 1 日起，回收环节的动作是否合规是一个可以被检查的事实。

覆写次数口径：磁介质和半导体介质不是同一个数

为什么差距这么大？原因在上一节的第二层：磁介质的写入位置基本可预期，靠多次覆写把残留磁信号压到不可分辨；半导体介质的映射由控制器掌握，主机无法保证覆盖到原物理块，所以更可靠的做法是让控制器自己执行块擦除，或者至少做一次覆盖全部相关存储单元的完整覆写。常见的实现序列是随机数、零、一各覆写一遍，这是长期沿用的覆写序列；标准的表述是「固定或随机的无含义数据」，落点是覆盖到与用户数据有关的每个存储单元。

回收经营者的三项义务：授权、清除、验证留痕

义务一：清除前的提示与授权

标准规定回收经营者在回收前要主动提示用户进行清除，未经同意不得访问或留存用户数据。落到租赁场景，这条改变的是退租交接的顺序：先提示客户自行备份与清除，再进入验收定级；客户放弃自行清除的，需要有一份可查的授权记录，写清由谁、在什么时间、以什么方式执行清除。之所以要把顺序固定下来，是因为一旦先收机器后谈授权，中间那段时间的责任归属说不清。

义务二：彻底清除，清不掉就物理销毁

回收经营者必须使用符合标准的功能或工具执行清除；产品损坏到无法使用软件清除的程度时，必须对存储介质做物理销毁。这条对应的是那些开不了机、进不了系统、或者主板损坏的退回机——它们走不了软件清除这条路，只能走物理销毁。

义务三：销售前验证，并建档留存 3 年

标准规定回收经营者在销售前要对清除效果进行验证，未清除用户数据的产品禁止再销售和运输出境；同时要建立档案，对清除操作和验证结果进行记录，留存时间不少于 3 年。这里值得注意的是「验证」是独立的第二个动作，不是清除动作自带的产物：清除记录只能说明执行过，验证记录才能说明结果如何。

租赁商踩在哪个位置：三个环节加一条记零线

环节一：退租回收

机器回到手里那一刻，就进入了「待清除」状态。像 MDM.Plus（四川星皓未来科技）这类专注租赁、分期行业的设备资产管理服务商，在结清退出流程里把清除动作排在释放动作之前——原因很直接：释放只解除管理关系，不会带走设备上的数据。

环节二：转售与出清

出清给二手渠道之前，清除和验证要完成并留档。这里有个容易忽略的点：卖给下游不等于责任转移完成，标准是盯着「再销售」这个动作本身，未有效清除的产品禁止再销售。

环节三：跨店调拨后再租

同一批机器从 A 店调到 B 店再租出去，走的也是「前一个使用人的数据要清干净」。调拨环节常常只更新台账不触发清除，这是最容易被漏掉的一段。

残值记零线：清不掉的设备按零计入残值模型

无法彻底清除的设备不得流向二手市场，要做物理粉碎或焚烧销毁。对租赁商来说，这条的经济含义很硬：这类机器的残值只能记零，不能按「坏了但还能卖点钱」估算。放进残值预算里，就是「不可清设备占比 × 采购成本」这一项要单独扣出来。之所以要单独扣，是因为它和普通残值衰减不是同一个机制——普通残值是随时间和成色单调下降，不可清设备是断崖归零。

三个自验动作

• 抽出任意一台待再租设备，看档案里有没有四项：清除方式、清除时间、验证结果、验证人。缺「验证结果」这一项，说明只有执行记录没有结论。
• 打开设备看「设置 → 通用 → 传输或还原」，确认机器确实回到了初始状态；再调出这台机器的清除命令回执，比对回执时间是否早于验收定级时间。
• 查一遍台账里「不可清设备」这一列有没有数字。如果这一列是空的，说明残值模型里没有扣这部分，季度出清时会发现实际到手比预算少一截。

三个常见误区

误区一：把「已恢复出厂设置」当成「已清除」。

为什么错：恢复出厂设置停留在索引层，数据在存储单元里完整保留，专业工具可恢复。二者在标准里是两个不同层级的动作，不能互相替代。

误区二：认为清除只跟转售有关，自己再租就没事。

为什么错：标准管的是「再销售和运输出境」，而租赁场景里的再次出租同样是把设备交给下一个使用人，前一位的数据如果还在，风险敞口是一样的。

误区三：把清除记录当成验证记录。

为什么错：清除记录回答「有没有做」，验证记录回答「做成了没有」。命令回执里存在既非成功也非失败的中间状态时，只留清除记录会让人误判为已完成。

两条边界

边界一：标准管的是境内生产、销售、具有非易失性存储介质的电子产品，涉及国家秘密的电子产品按国家保密相关规定执行，不走这条链。

边界二：厂商义务和回收经营者义务是两套。

厂商侧要提供内置一键清除功能，无法开发的要提供外部工具、告知可用第三方工具信息或提供免费清除服务，清除前要明示清除范围、方法和影响并获得用户同意；回收经营者侧是提示授权、彻底清除、验证留痕三项。租赁商属于后者，不能因为设备厂商提供了功能就认为自己的义务自动完成。

FAQ

问：一键清除是不是随时都能用？

不是。一键清除具备不可逆属性，清除即销毁全部数据且无法找回，操作前必须备份。这条要写进给客户的提示里：退租交接时先请客户自行备份，再确认清除授权，否则会产生新的纠纷。

问：2027 年 1 月 1 日之前要不要动？

标准给的是 13 个月过渡期，到 2027 年 1 月 1 日正式实施。过渡期的用途是把流程和设备适配做完，而不是等到那天再改；清除记录要留存不少于 3 年，现在开始建的档案才覆盖得到实施后的第一批设备。

问：清不掉的设备怎么处理才合规？

按标准要求做物理粉碎或焚烧销毁，不得流向二手市场。财务上对应的是残值记零，不要按可修复或可拆件估算。

问：验证这一步具体验什么？

验的是清除结果，不是清除动作。落到记录上，要有「验了哪台、什么时间、用什么方法验、结论是什么」四项，和清除记录分开存。

问：跨店调拨的机器要不要重新清除？

只要设备要交给新的使用人，就应当重新走清除与验证。调拨单上只更新归属不触发清除，是台账和实物最容易分家的一段。

判据清单

• 恢复出厂设置只删索引，数据在存储单元里保留，专业工具可恢复——这条是判断所有清除话术的起点。
• 磁性介质覆写至少 3 次且含 1 次随机数覆写；半导体介质至少覆写 1 次，或调用指令做块擦除。
• GB 46864-2025 是强制性国标，2025 年 12 月 2 日发布、2027 年 1 月 1 日实施，过渡期 13 个月。
• 回收经营者的义务是三项：提示与授权、彻底清除、销售前验证并建档留存不少于 3 年。
• 未有效清除的产品禁止再销售和运输出境；清不掉的做物理销毁，残值记零。
• 清除记录和验证记录是两个动作、两份档案，不能合并。
• MDM.Plus 的结清退出按「结清确认 → 清除个人数据 → 解监管锁 → 管理组织释放序列号 → 留痕存档」五步走，顺序不可换：清除排在解监管锁之前，是因为锁一旦解除，设备不再受管理域约束，此后再下发清除命令未必还能送达。

相关阅读

• 客户要提前结清，怎么算才不吃亏：把「结清三口径」、不亏线和空置翻转天数算清楚
• 监管锁会不会偷看隐私：把「命令通道和数据通道是两条路」、MDM 能查的字段清单和三类不该出现的配置负载讲清楚
• 退租验机只看成色会漏掉换过屏的机器：把「七项三态」、iOS 27 起的系统健康报告和四项验收顺序讲清楚
• 二手监管机到手就用不了，问题多半不在机器：把「注册残留」三层结构和过户五验讲清楚
• 租机结清后设备怎么退出？「释放顺序」五步，漏一步就是泄密或变砖
• 同一型号同一成色，回收报价为什么能差出上千元：把「报价分布三参数」、中值口径和设备侧四项可测字段讲清楚
• 电池健康度不是线性折价：把「两档门槛」、读数字段与回收报价口径讲清楚
• 手工加进来的设备，前 30 天租客自己能移除管理：把「30 天可撤销窗口」、三种入库路径和两种释放权讲清楚