PIA 什么时候做
个人信息保护影响评估是事前评估。个保法要求在处理敏感个人信息、利用个人信息进行自动化决策、委托处理或向其他处理者提供与公开个人信息、向境外提供个人信息，以及其他对个人权益有重大影响的处理活动前，开展影响评估并记录处理情况。评估报告与处理情况记录至少保存三年，这一点常被忽略。
基本信息
| 法规依据 | 个人信息保护法第五十五条、第五十六条 |
|---|---|
| 必评场景 | 敏感信息、自动化决策、委托共享、出境、其他重大影响 |
| 报告内容 | 活动描述、合法正当必要、影响与风险、措施与结论 |
| 保存要求 | 评估报告与处理情况记录至少保存三年 |
| 时机要求 | 事前开展，不能事后补 |
| 关联材料 | 数据清单、字段说明、共享协议、出境评估 |
典型使用场景
- 新业务或新功能上线前的评估
- 人脸、指纹、医疗健康等敏感信息处理
- 用户画像与自动化决策功能的评审
- 委托处理与第三方共享前的评估
- 数据出境前的必要前置动作
必评场景
必评场景
# 1 处理敏感个人信息
# 2 利用个人信息进行自动化决策
# 3 委托处理、向其他处理者提供、公开个人信息
# 4 向境外提供个人信息
# 5 其他对个人权益有重大影响的处理活动报告结构
报告结构
# 1 处理活动描述：目的、方式、信息种类、保存期限
# 2 合法性、正当性与必要性分析
# 3 对个人权益的影响与安全风险
# 4 保护措施及其与风险的适应性
# 5 结论与残余风险；报告与记录至少保存 3 年场景与重点
| 场景 | 重点评估内容 | 常见问题 |
|---|---|---|
| 敏感个人信息 | 单独同意、必要性、加密与访问控制 | 未取得单独同意 |
| 自动化决策 | 透明度、拒绝方式、差别待遇 | 无拒绝或解释渠道 |
| 委托与共享 | 协议约束、接收方能力 | 协议缺数据安全条款 |
| 出境 | 出境路径与接收方保障 | 先传后评估 |
上线后再补评估属事后补材料，不能替代事前评估；评估时点本身就会被追问。
结论不要只写「低风险」：要给出判断依据和「措施到风险」的映射关系，否则报告缺少说服力，变更时也无法复用。