01 · PIA的制度基础与触发场景
个人信息保护影响评估（PIA）是个保法确立的「事前评估」机制：第54条要求处理者在开展对个人权益有重大影响的个人信息处理活动前进行影响评估，并对处理情况进行记录；第55条列举五类强制触发场景；第56条规定评估内容与记录保存要求（至少三年）。PIA的本质是把第5、6条的最小必要原则、第13条的合法性基础论证、第51条的安全措施选择，集中在一个可审查的文档化过程中。
| 条文 | 规则内容 | 合规要点 |
|---|---|---|
| 第54条 | 处理者在开展对个人权益有重大影响的个人信息处理活动前，应当事前进行个人信息保护影响评估，并对处理情况进行记录 | 「重大影响」是开放兜底概念，不能仅以第55条五类为限；评估须在活动开始前完成，事后补评估不消除程序违法 |
| 第55条 | 强制PIA的五类场景：①处理敏感个人信息；②利用个人信息进行自动化决策；③委托处理个人信息、向其他个人信息处理者提供个人信息、公开个人信息；④向境外提供个人信息；⑤其他对个人权益有重大影响的个人信息处理活动 | 注意第③项的并列表述——委托处理同样触发PIA，与是否需单独同意无关；第五类要求企业建立自主识别机制 |
| 第56条 | 评估内容三项：①个人信息的处理目的、处理方式等是否合法、正当、必要；②对个人权益的影响及安全风险；③所采取的保护措施是否与风险程度相适应并有效。评估报告和处理情况记录应当至少保存三年 | 三项内容对应「定性评估—风险分析—措施验证」三段式结构；三年保存期是最低要求，建议与业务存续期匹配 |
PIA与出境评估的关系：向境外提供个人信息同时触发PIA（第55条）与出境合规路径（第38条）。两者不可互相替代：PIA回答「这个处理活动对个人的影响与风险是否可控」，出境评估/标准合同/认证回答「这条跨境链路是否满足出境管制要求」。出境场景的操作顺序建议：先完成PIA→再选定出境路径并准备相应材料（出境路径的完整制度设计见子课题03，第6页保留个保法视角要点）。
02 · PIA方法论：五阶段实施框架
GB/T 39335-2020《信息安全技术 个人信息安全影响评估指南》（2021年6月1日实施）为PIA提供了标准化方法论框架。课题将其凝练为五阶段实施流程：
| 阶段 | 关键任务 | 输出物 |
|---|---|---|
| 1. 评估准备 | 明确评估对象（功能/系统/处理活动边界）、组建评估组（业务+法务+安全+技术）、制定评估计划 | 评估计划书、范围界定说明 |
| 2. 数据映射 | 梳理处理活动的全要素：主体、目的、方式、字段、来源、流向（含SDK与委托链）、存储位置与期限、共享/出境环节、安全措施现状 | 数据映射表（RoPA式）、处理活动清单 |
| 3. 风险分析 | 识别风险源（过度收集、未经授权访问、泄露、滥用、自动化决策歧视等）；评估对个人权益的影响（人格尊严、人身财产安全、差别待遇）与安全风险；以「可能性×影响」矩阵定级 | 风险清单与定级矩阵、影响分析记录 |
| 4. 措施设计与验证 | 针对每项风险制定处置措施（消除/替代/缓释/接受）；验证措施与风险程度的适配性（加密、去标识化、权限、留存期限、单独同意等） | 措施对照表、残余风险评估、措施有效性说明 |
| 5. 报告与审批 | 形成评估报告（三项法定内容全覆盖），经负责人审批；识别后续监控要求与复评触发条件（目的变更、场景变化、新法规出台） | PIA报告（存档≥3年）、整改跟踪单 |
2.1 风险矩阵（建议模板）
| 影响＼可能性 | 低（罕见） | 中（可能） | 高（很可能） |
|---|---|---|---|
| 高（重大权益损害：歧视、财产损失、人格尊严侵害） | 中风险：缓释+审批 | 高风险：整改后复评 | 极高：禁止上线 |
| 中（权益受限：骚扰、不便、轻微歧视） | 低风险：常规措施 | 中风险：缓释+审批 | 高风险：整改后复评 |
| 低（影响轻微） | 低风险：常规措施 | 低风险：常规措施 | 中风险：缓释+审批 |
注：矩阵分级为课题建议模板，企业应结合自身风险容忍度校准；高风险及以上结论须经个人信息保护负责人审批，极高风险应直接否决上线。
03 · 场景化PIA操作手册
| 触发场景（第55条） | 评估焦点 | 高频风险与措施要点 |
|---|---|---|
| 处理敏感个人信息 | 必要性与替代方案比较（第28条「特定的目的和充分的必要性」）；单独同意的设计；严格保护措施的有效性 | 风险：超范围收集、展示未脱敏。措施：最小化字段、存储加密、展示脱敏、访问审批、单独弹窗同意、告知必要性与影响（第30条） |
| 自动化决策 | 透明度（个人能否理解决策逻辑）；结果公平性（是否对特定群体产生系统性不利影响）；拒绝与人工介入通道 | 风险：大数据杀熟、黑箱拒绝。措施：公平性测试报告、非个性化选项、人工复核流程、标签管理、差别定价论证材料 |
| 委托处理/向他人提供/公开 | 接收方身份与处理角色定性（受托人 or 独立处理者）；委托合同条款完备性（第21条五要素）；公开的范围与必要性 | 风险：名为委托实为提供、超约定留存。措施：角色论证记录、合同模板（含返还删除与转委托禁止条款）、对接收方的尽职调查与持续监督 |
| 向境外提供 | 出境必要性；境外接收方保护水平与所在法域环境；个人行权渠道可达性 | 风险：规避申报、境内存储义务违反（第40条）。措施：出境场景清单化、路径选择论证（评估/合同/认证/豁免）、单独同意与专门告知（第39条），详见第6页与子课题03 |
| 其他重大影响活动（兜底） | 自行识别：大规模画像、长期跟踪、与第三方数据汇聚融合、新技术应用（生成式AI训练、人脸等生物识别） | 风险：兜底场景失控。措施：建立「重大影响」判定指引（参考人数规模、敏感程度、技术新颖性三因子），纳入上线评审强制关口 |
04 · 合规审计制度：2025年审计办法深度解读
《个人信息保护合规审计管理办法》（国家网信办令第18号，2025年2月公布、5月1日施行）将合规审计从「倡导性动作」确立为法定制度，与个保法第64条（履职部门发现个人信息处理活动存在较大风险、可能侵害众多个人权益或发生个人信息安全事件时，可要求处理者委托专业机构进行合规审计）衔接。核心要点：
| 要点 | 规定内容 |
|---|---|
| 适用对象与频次 | 处理个人信息的企业事业单位等所有处理者均应开展合规审计；处理个人信息超过1000万人的处理者，应当每两年至少开展一次合规审计 |
| 负责人与监督机构门槛 | 处理100万人以上个人信息的处理者应当指定个人信息保护负责人（第12条，明确个保法第52条「达量」标准）；守门人处理者应成立主要由外部成员组成的独立机构，对合规审计情况进行监督（第12条第2款，与个保法第58条衔接） |
| 审计方式 | 可以自行开展，也可以委托个人信息保护合规审计专业机构开展；监管部门鼓励通过认证、评估等方式提升审计质量 |
| 强制审计情形 | 保护部门可要求强制审计的三类情形（第5条）：①处理活动存在严重影响个人权益或者严重缺乏安全措施等较大风险；②处理活动可能侵害众多个人权益；③发生个人信息安全事件，导致100万人以上个人信息或者10万人以上敏感个人信息泄露、篡改、丢失、毁损。同一事件或风险不得重复要求审计 |
| 专业机构义务 | 不得将其受托的合规审计业务转委托给其他机构或个人；不得对外披露审计活动中知悉的信息；应当对其出具的审计报告的真实性、准确性负责；存在利害关系的应当回避；同一专业机构及其关联机构、同一合规审计负责人不得连续三次以上对同一审计对象开展审计（第15条） |
| 审计重点 | 办法列明审计重点：合法性基础、告知、同意、敏感信息、自动化决策、委托与提供、出境、个人权利响应、安全制度与措施、事件处置等处理活动全链条 |
| 整改闭环 | 处理者应按照审计报告整改，整改完成后15个工作日内向保护部门报送整改情况报告（第11条）；保护部门可对合规审计情况监督检查（第16条） |
战略含义：①「每两年一次」是最低频次，达量企业应建立滚动审计计划（按业务线/系统分批覆盖）；②强制审计权的触发条件「较大风险或安全事件」意味着——发生泄露事件后企业可能被要求委托外部机构审计，审计报告将成为监管定责的直接依据，日常留痕质量决定审计结果；③选择专业机构时应核验其能力与独立性记录，其报告失真可能连带影响企业。
05 · 审计实施流程与十二项检查表
合规审计五阶段实施流程
依据《个人信息保护合规审计管理办法》及GB/T 39335-2020方法整理
说明：流程为课题方法论示意；受托专业机构执行时另受办法约束（不得转委托、保密、回避等）。
5.1 十二项审计检查表（课题建议版）
| 序号 | 检查域 | 核心核查项 |
|---|---|---|
| 1 | 治理与制度（第51条） | 内部管理制度与操作规程是否成文并现行有效；是否覆盖收集、存储、使用、委托、共享、删除全环节 |
| 2 | 合法性基础（第13条） | 抽取处理场景核验基础论证卡；基础与场景是否匹配，有无「该用合同必需却滥用同意」或反之 |
| 3 | 告知（第17条） | 告知文本四要素完整性；版本存档；变更是否重新告知；渠道是否显著可达 |
| 4 | 同意与单独同意（第14、29条） | 同意记录（时间、版本、范围）可查验；敏感/提供/公开/出境场景单独同意界面与日志；撤回机制便捷性实测 |
| 5 | 最小必要（第5、6、19条） | 字段—功能对照表；权限申请与功能匹配性实测；保存期限策略与到期删除验证（含备份） |
| 6 | 敏感个人信息（第28—32条） | 敏感信息资产清单；单独同意率；加密与脱敏措施；人脸场景备案义务核查（存储达10万人须备案） |
| 7 | 自动化决策（第24条） | 关闭个性化选项可用性；差别定价公平性论证；自动化重大决策人工介入通道；算法备案核查（如适用） |
| 8 | 委托与共享（第21—23条） | 受托人台账与合同五要素；转委托管控；对外提供单独同意与监督记录；接收方尽调 |
| 9 | 跨境提供（第38—41条） | 出境场景清单；路径合规性（评估/合同/认证/豁免）；单独同意；第40条境内存储义务核查 |
| 10 | 个人权利响应（第44—49条） | 请求渠道可用性；身份核验；响应时限达标；删除与注销（15个工作日）执行验证 |
| 11 | 安全措施与事件（第51、57条） | 加密、去标识化、权限最小化；应急预案及演练记录；泄露通知程序（监管+个人）实测 |
| 12 | PIA与记录（第54—56条） | 触发场景识别完备性；PIA报告三项法定内容；记录保存≥3年；审计报告与整改记录 |
06 · 常见不符合项与整改路径
| 常见不符合项 | 典型根因 | 整改路径 |
|---|---|---|
| 告知不完整（缺保存期限、权利行权方式） | 隐私政策模板长期未更新，未随功能迭代同步修订 | 按第17条四要素重构文本；建立「功能上线→政策更新」联动评审点；版本化存档并抽查 |
| 同意捆绑（一次同意覆盖多目的） | 同意颗粒度设计粗糙，产品为转化率刻意合并 | 按目的拆分同意点；敏感场景独立弹窗；上线前合规走查纳入强制关口 |
| 超范围收集（功能与字段不匹配） | 需求阶段无法务介入；历史遗留字段无人清理 | 字段—功能对照表全量梳理，停用字段下线；新需求强制「必要性论证卡」 |
| SDK未披露或同意前初始化 | 集成依赖管理缺失；初始化代码位置错误 | SDK清单治理（名称/目的/信息类型）；延迟初始化至同意后；纳入发版检测（第5页） |
| 删除请求未闭环（账号可注、数据残留） | 注销仅标记状态，备份与关联系统未同步清除 | 端到端删除链路改造（含备份介质到期清除）；删除证明留痕；15个工作日时限监控 |
| 委托处理无合同或条款缺失 | 采购流程未嵌入个保条款；存量合同未补签 | 合同模板嵌入第21条五要素与返还删除条款；存量合同限期补签；受托人年度复评 |
| PIA流于形式（套模板无实质分析） | 评估人不懂业务，风险识别依赖被评估方自述 | 评估组跨职能配置；引入数据映射与系统测试证据；负责人审批担责 |
| 出境活动未识别（业务绕过合规） | 境内团队不知晓境外总部/母公司访问数据 | 出境场景清单化排查（含远程访问、境外客服、全球CRM）；建立出境审批前置流程 |
07 · 文档体系与证据管理
「做了且能证明」是个保合规的生命线。第69条过错推定意味着：诉讼与审计中，证据完备性直接决定责任分配。建议建立以下文档体系并按期限留存：
| 文档/记录 | 法定最低保存期 | 管理要点 |
|---|---|---|
| PIA报告与处理情况记录（第56条） | 至少3年 | 按处理活动归档，关联版本号；支持审计检索 |
| 同意记录（第14条配套） | 未明文规定，建议与业务存续期匹配 | 时间戳+政策版本哈希+同意范围+撤回记录；防篡改存储（第7页） |
| 告知文本历史版本（第17条配套） | 建议长期保存 | 每个版本留存文本快照、生效时间、适用渠道；变更新旧版本可比对 |
| 合规审计报告与整改记录（审计办法） | 建议≥3年（与PIA记录协调） | 达量企业两年一次滚动归档；强制审计报告单独管理 |
| 委托处理合同与受托人台账（第21条） | 合同期+终止后删除验证期 | 五要素齐全；终止后返还/删除证明留存 |
| 培训记录（第53条） | 建议≥3年 | 全员年度培训+重点岗位专项；签到与考核留痕 |
| 安全事件与通知记录（第57条） | 建议长期保存 | 事件时间线、补救措施、监管与个人通知凭证 |
| 出境合规档案（评估申报/合同备案/认证） | 出境活动期间+终止后3年 | 申报回执、备案证明、境外接收方协议留档（子课题03衔接） |
08 · 本节参考来源（第4页）
[1]
《个人信息保护法》第54—56、64条：中国政府网。
[2]
《个人信息保护合规审计管理办法》（国家网信办令第18号，2025年5月1日施行）：中国网信网。
[3]
GB/T 39335-2020《信息安全技术 个人信息安全影响评估指南》（2021年6月1日实施）：国家标准全文公开系统。
[4]
《人脸识别技术应用安全管理办法》（2025年6月1日施行，人脸信息存储达10万人须备案）：中国网信网。