數據銷毀|個人信息保護影響評估（PIA）常見問題解答

一、哪些情形應當開展個人信息保護影響評估？

根據《個人信息保護法》第五十五條，個人信息處理者在以下場景中需事前完成PIA：

• 處理敏感個人信息：比如刷臉支付、醫療健康等數據收集、處理；
• 自動化決策場景：典型場景包括算法推薦商品、信用評分等；
• 共享或委托處理個人信息：包括把數據交給第三方處理（如委托數據分析公司）、共享給合作方、APP接入第三方SDK等；
• 跨境傳輸個人信息：即便符合豁免條件（如跨境購物、跨境寄遞、跨境匯款、跨境支付、跨境開戶、機票酒店預訂、簽證辦理、考試服務等）也需要開展影響評估；
• 以及其他可能顯著影響個人權益的活動：需結合業務具體判斷。

二、個人信息保護影響評估應包含哪些核心內容？

根據法律規定，PIA主要圍繞以下三方面展開：

• 合法性驗證：個人信息處理目的、方式是否遵循“合法、正當、必要”原則；
• 風險識別：分析個人信息處理對用戶權益的潛在影響及安全風險；
• 保護措施匹配度：驗證現有安全手段（如加密、權限控制等）是否與安全風險等級相適應

三、事前未進行PIA，事后補做是否有效？

根據《個人信息保護法》要求，PIA應以事前評估為基本原則，旨在從源頭規避風險，若因歷史原因未及時評估，企業可對已開展的業務進行補充性PIA，但需確保：

• 評估方法符合國家標準《信息安全技術 個人信息安全影響評估指南》（編號：GB/T-39335，以下簡稱為：“《個人信息安全影響評估指南》”）的要求
• 有效識別可能侵害個人權益的情形；
• 針對已識別的風險采取整改措施（如完善用戶告知、優化數據加密方案）。
• 需特別強調的是：事后補充評估僅能彌補歷史業務漏洞，不能替代新業務的“事前評估”法定義務。未來新增業務或功能迭代時，企業仍需嚴格履行事前合規責任。

四、如何合理并合規地界定PIA的評估對象及范圍？

從企業整體合規的角度考慮，原則上應將所有業務線全部納入PIA評估范圍，但在實際落地執行時，全面覆蓋對大部分企業來講可能都會面臨資源與效率的雙重挑戰。因此實操過程中大部分PIA是以涉及個人信息處理活動的具體業務流程/業務場景作為評估對象，例如進行個人跨境傳輸的場景下，針對跨境涉及的業務流程、場景、個人信息字段、傳輸方式、個人信息主體的知情同意落實情況、安全保護措施等內容進行評估。

若企業涉及多項業務均需開展PIA，可依據風險等級與資源投入的平衡原則，優先選擇核心業務（如涉及敏感個人信息處理、用戶基數龐大的業務）或合規風險較高的場景（如自動化決策、委托第三方處理數據）開展評估，后續通過分階段擴展逐步覆蓋其他業務。實操過程中，企業可建立動態評估機制，例如將新增業務或重大變更場景自動納入待評估清單，并結合年度合規計劃逐步推進，最終實現業務的全覆蓋，同時確保評估邏輯的連貫性與文檔的可追溯性，為后續審計提供完整依據。

五、如何把握評估工作的精細程度？

評估的精細程度需以不低于法定基礎要求以及國標指引為基準，同時結合業務實際靈活調整。

根據《個人信息安全影響評估指南》，PIA需系統覆蓋技術措施、流程規范、人員管理及業務特征等維度。例如，技術層面需核查數據傳輸加密、訪問權限控制等基礎安全能力是否達標；流程層面需驗證告知同意的執行是否合法（如是否存在默認勾選、變更用途時是否重新授權）；人員管理需評估內部培訓制度、第三方合作約束機制是否健全；業務層面則需結合用戶規模、數據敏感度等動態調整防護等級。

需注意的是，評估并非機械照搬國標條款，企業可基于業務復雜度合并同類項（如相似場景共用評估模板）或補充特定風險點（如跨境傳輸場景增加數據接收方資質審查），但核心控制項（如用戶權利保障、風險處置閉環）不可簡化。

此外，評估過程需完整留存文檔（如隱私政策迭代記錄、用戶授權憑證、整改報告），確保邏輯可追溯、證據鏈完整，避免因細節缺失導致合規效力弱化。

六、已經開展過評估的業務，是否可以“一勞永逸”？

不可以，已完成的PIA不可視為永久有效，需根據業務動態變化及合規環境更新重新評估。

根據《個人信息保護法》及《個人信息安全影響評估指南》要求，PIA本質上是圍繞業務場景開展的動態合規管理工具，而非一次性任務。因此，即使企業已完成全部業務的初始評估，在后續運營中仍需關注以下觸發條件：

• 業務新增功能或版本迭代（如上線新服務模塊）；
• 合作方調整（如引入第三方處理數據）；
• 用戶規模顯著增長（如日活量激增）；
• 合規要求更新（如新的法律法規、政策、國標等發布）；
• 重大安全事件（如數據泄露）。

如涉及以上情況其中之一的，則需要重新進行PIA。

此外，建議企業建立定期評估機制（如年度復評），結合業務發展與安全態勢動態調整評估范圍，確保合規覆蓋的完整性與時效性。實踐中，企業應留存歷次評估報告及更新記錄，形成可追溯的合規“證據鏈條”。

七、涉及跨境傳輸個人信息的業務，無論是否屬于免予申報數據出境安全評估/訂立個人信息出境標準合同/通過個人信息保護認證的情形，是否都要做PIA？

是的。

企業的業務涉及跨境傳輸個人信息，且根據《數據出境安全評估辦法》《個人信息出境標準合同辦法》《個人信息跨境處理活動安全認證規范》《促進和規范數據跨境流動規定》等規定，需要通過數據出境安全評估、訂立個人信息出境標準合同、通過個人信息保護認證這三條個人信息出境合規路徑之一完成個人信息數據跨境的強制性合規義務的，在進行安全評估、標準合同備案、保護認證過程中，必須向網信辦等相關部門提交PIA報告。

需要特別注意的是，個保法中第五十五條明確指出向境外提供個人信息的個人信息處理者應當事前進行個人信息保護影響評估，并對處理情況進行記錄，這一要求是廣泛適用的。因此，即使屬于免予申報數據出境安全評估/訂立個人信息出境標準合同/通過個人信息保護認證的情形，仍需要開展出境場景下的PIA，并形成評估報告以供開展合規審計時備查。

文件硬盤數據銷毀