隐私影响评估 PIA/DPIA 是什么
隐私影响评估（PIA，GDPR 语境下称 DPIA）是在高风险处理开始前完成的结构化评估：明确处理目的与合法性基础、画出数据流、论证字段最小必要与留存期限、识别风险并给出缓解措施，最后形成包含残余风险结论与审批记录的评估报告。它的价值在于设计阶段就能改；上线后再补做，通常只剩两条路——付出很高代价整改，或者带着已知风险继续运行。
基本信息
| 触发 | 新系统/新功能、新数据共享、跨境、敏感数据 |
|---|---|
| 内容 | 处理目的、数据流、必要性与比例、风险与措施 |
| 产出 | 评估报告 + 残余风险结论 + 审批记录 |
| 参与方 | 业务、研发、安全与法务共同评估 |
| 复核 | 处理方式或数据范围变化时重新评估 |
典型使用场景
- 新功能涉及位置、生物特征或健康等敏感数据
- 引入第三方共享用户数据或接入外部 SDK
- 系统上线境外节点，涉及跨境传输
- 大规模画像或自动化决策影响用户权益
- 监管检查或内部审计要求提供评估材料
评估清单示例
评估清单示例
□ 处理目的与合法性基础明确？ # 目的要具体，不能是「提升体验」这类笼统表述
□ 字段是否最小必要？留存期是否设定？ # 收集多余字段是最常见的问题
□ 共享与委托处理是否有协议？ # 涉及第三方即需 DPA 等书面约定
□ 出境场景是否走合规路径？ # 与跨境清单联动核对
□ 用户请求如何响应？ # 访问、删除、导出要有可执行路径
□ 残余风险由谁审批放行？ # 结论必须有签字方评估要素
| 要素 | 要回答的问题 | 产出 |
|---|---|---|
| 目的与基础 | 为什么处理，依据哪条合法性基础 | 目的说明与依据记录 |
| 数据流 | 数据从哪来、流向哪、存多久 | 数据流图与字段清单 |
| 必要性与比例 | 少收几个字段会不会影响功能 | 最小化方案与留存期设定 |
| 风险识别 | 泄露、误用或超范围使用会造成什么影响 | 风险清单与等级 |
| 缓解措施 | 用什么技术与流程措施降低风险 | 措施清单与责任人 |
| 结论 | 是否放行，残余风险谁接受 | 审批记录与复核时间点 |
评估只列风险不给放行结论，等于让风险默认被接受：报告里必须写明是否放行、残余风险由谁认可、在什么条件下需要重新评估。