數(shù)據(jù)銷毀|個人信息保護影響評估（PIA）常見問題解答

一、哪些情形應(yīng)當開展個人信息保護影響評估？

根據(jù)《個人信息保護法》第五十五條，個人信息處理者在以下場景中需事前完成PIA：

• 處理敏感個人信息：比如刷臉支付、醫(yī)療健康等數(shù)據(jù)收集、處理；
• 自動化決策場景：典型場景包括算法推薦商品、信用評分等；
• 共享或委托處理個人信息：包括把數(shù)據(jù)交給第三方處理（如委托數(shù)據(jù)分析公司）、共享給合作方、APP接入第三方SDK等；
• 跨境傳輸個人信息：即便符合豁免條件（如跨境購物、跨境寄遞、跨境匯款、跨境支付、跨境開戶、機票酒店預(yù)訂、簽證辦理、考試服務(wù)等）也需要開展影響評估；
• 以及其他可能顯著影響個人權(quán)益的活動：需結(jié)合業(yè)務(wù)具體判斷。

二、個人信息保護影響評估應(yīng)包含哪些核心內(nèi)容？

根據(jù)法律規(guī)定，PIA主要圍繞以下三方面展開：

• 合法性驗證：個人信息處理目的、方式是否遵循“合法、正當、必要”原則；
• 風險識別：分析個人信息處理對用戶權(quán)益的潛在影響及安全風險；
• 保護措施匹配度：驗證現(xiàn)有安全手段（如加密、權(quán)限控制等）是否與安全風險等級相適應(yīng)

三、事前未進行PIA，事后補做是否有效？

根據(jù)《個人信息保護法》要求，PIA應(yīng)以事前評估為基本原則，旨在從源頭規(guī)避風險，若因歷史原因未及時評估，企業(yè)可對已開展的業(yè)務(wù)進行補充性PIA，但需確保：

• 評估方法符合國家標準《信息安全技術(shù) 個人信息安全影響評估指南》（編號：GB/T-39335，以下簡稱為：“《個人信息安全影響評估指南》”）的要求
• 有效識別可能侵害個人權(quán)益的情形；
• 針對已識別的風險采取整改措施（如完善用戶告知、優(yōu)化數(shù)據(jù)加密方案）。
• 需特別強調(diào)的是：事后補充評估僅能彌補歷史業(yè)務(wù)漏洞，不能替代新業(yè)務(wù)的“事前評估”法定義務(wù)。未來新增業(yè)務(wù)或功能迭代時，企業(yè)仍需嚴格履行事前合規(guī)責任。

四、如何合理并合規(guī)地界定PIA的評估對象及范圍？

從企業(yè)整體合規(guī)的角度考慮，原則上應(yīng)將所有業(yè)務(wù)線全部納入PIA評估范圍，但在實際落地執(zhí)行時，全面覆蓋對大部分企業(yè)來講可能都會面臨資源與效率的雙重挑戰(zhàn)。因此實操過程中大部分PIA是以涉及個人信息處理活動的具體業(yè)務(wù)流程/業(yè)務(wù)場景作為評估對象，例如進行個人跨境傳輸?shù)膱鼍跋拢槍缇成婕暗臉I(yè)務(wù)流程、場景、個人信息字段、傳輸方式、個人信息主體的知情同意落實情況、安全保護措施等內(nèi)容進行評估。

若企業(yè)涉及多項業(yè)務(wù)均需開展PIA，可依據(jù)風險等級與資源投入的平衡原則，優(yōu)先選擇核心業(yè)務(wù)（如涉及敏感個人信息處理、用戶基數(shù)龐大的業(yè)務(wù)）或合規(guī)風險較高的場景（如自動化決策、委托第三方處理數(shù)據(jù)）開展評估，后續(xù)通過分階段擴展逐步覆蓋其他業(yè)務(wù)。實操過程中，企業(yè)可建立動態(tài)評估機制，例如將新增業(yè)務(wù)或重大變更場景自動納入待評估清單，并結(jié)合年度合規(guī)計劃逐步推進，最終實現(xiàn)業(yè)務(wù)的全覆蓋，同時確保評估邏輯的連貫性與文檔的可追溯性，為后續(xù)審計提供完整依據(jù)。

五、如何把握評估工作的精細程度？

評估的精細程度需以不低于法定基礎(chǔ)要求以及國標指引為基準，同時結(jié)合業(yè)務(wù)實際靈活調(diào)整。

根據(jù)《個人信息安全影響評估指南》，PIA需系統(tǒng)覆蓋技術(shù)措施、流程規(guī)范、人員管理及業(yè)務(wù)特征等維度。例如，技術(shù)層面需核查數(shù)據(jù)傳輸加密、訪問權(quán)限控制等基礎(chǔ)安全能力是否達標；流程層面需驗證告知同意的執(zhí)行是否合法（如是否存在默認勾選、變更用途時是否重新授權(quán)）；人員管理需評估內(nèi)部培訓(xùn)制度、第三方合作約束機制是否健全；業(yè)務(wù)層面則需結(jié)合用戶規(guī)模、數(shù)據(jù)敏感度等動態(tài)調(diào)整防護等級。

需注意的是，評估并非機械照搬國標條款，企業(yè)可基于業(yè)務(wù)復(fù)雜度合并同類項（如相似場景共用評估模板）或補充特定風險點（如跨境傳輸場景增加數(shù)據(jù)接收方資質(zhì)審查），但核心控制項（如用戶權(quán)利保障、風險處置閉環(huán)）不可簡化。

此外，評估過程需完整留存文檔（如隱私政策迭代記錄、用戶授權(quán)憑證、整改報告），確保邏輯可追溯、證據(jù)鏈完整，避免因細節(jié)缺失導(dǎo)致合規(guī)效力弱化。

六、已經(jīng)開展過評估的業(yè)務(wù)，是否可以“一勞永逸”？

不可以，已完成的PIA不可視為永久有效，需根據(jù)業(yè)務(wù)動態(tài)變化及合規(guī)環(huán)境更新重新評估。

根據(jù)《個人信息保護法》及《個人信息安全影響評估指南》要求，PIA本質(zhì)上是圍繞業(yè)務(wù)場景開展的動態(tài)合規(guī)管理工具，而非一次性任務(wù)。因此，即使企業(yè)已完成全部業(yè)務(wù)的初始評估，在后續(xù)運營中仍需關(guān)注以下觸發(fā)條件：

• 業(yè)務(wù)新增功能或版本迭代（如上線新服務(wù)模塊）；
• 合作方調(diào)整（如引入第三方處理數(shù)據(jù)）；
• 用戶規(guī)模顯著增長（如日活量激增）；
• 合規(guī)要求更新（如新的法律法規(guī)、政策、國標等發(fā)布）；
• 重大安全事件（如數(shù)據(jù)泄露）。

如涉及以上情況其中之一的，則需要重新進行PIA。

此外，建議企業(yè)建立定期評估機制（如年度復(fù)評），結(jié)合業(yè)務(wù)發(fā)展與安全態(tài)勢動態(tài)調(diào)整評估范圍，確保合規(guī)覆蓋的完整性與時效性。實踐中，企業(yè)應(yīng)留存歷次評估報告及更新記錄，形成可追溯的合規(guī)“證據(jù)鏈條”。

七、涉及跨境傳輸個人信息的業(yè)務(wù)，無論是否屬于免予申報數(shù)據(jù)出境安全評估/訂立個人信息出境標準合同/通過個人信息保護認證的情形，是否都要做PIA？

是的。

企業(yè)的業(yè)務(wù)涉及跨境傳輸個人信息，且根據(jù)《數(shù)據(jù)出境安全評估辦法》《個人信息出境標準合同辦法》《個人信息跨境處理活動安全認證規(guī)范》《促進和規(guī)范數(shù)據(jù)跨境流動規(guī)定》等規(guī)定，需要通過數(shù)據(jù)出境安全評估、訂立個人信息出境標準合同、通過個人信息保護認證這三條個人信息出境合規(guī)路徑之一完成個人信息數(shù)據(jù)跨境的強制性合規(guī)義務(wù)的，在進行安全評估、標準合同備案、保護認證過程中，必須向網(wǎng)信辦等相關(guān)部門提交PIA報告。

需要特別注意的是，個保法中第五十五條明確指出向境外提供個人信息的個人信息處理者應(yīng)當事前進行個人信息保護影響評估，并對處理情況進行記錄，這一要求是廣泛適用的。因此，即使屬于免予申報數(shù)據(jù)出境安全評估/訂立個人信息出境標準合同/通過個人信息保護認證的情形，仍需要開展出境場景下的PIA，并形成評估報告以供開展合規(guī)審計時備查。

文件硬盤數(shù)據(jù)銷毀