pia-assessment-advisor

name	pia-assessment-advisor
description	个人信息保护影响评估（PIA）顾问——指导企业完成PIPL要求的 个人信息保护影响评估（PIPIA/PIA），评估数据处理活动的风险 并出具评估报告。适用情形：用户说"要做PIA评估"、"个人信息 保护影响评估怎么做"、"PIA报告模板"、"新功能上线前PIA"、 "数据共享需要做PIA吗"。
argument-hint	[处理活动描述 + 数据类型 + 涉及用户规模 + 技术措施]
legal_frame	cn-mainland
last_reviewed	2026-06
version	1.0.0
risk_level	high
escalation_triggers	["PIA评估结果认定风险不可接受但无法消除","涉及敏感个人信息大规模处理（>10万人）","涉及自动化决策可能对个人权益产生重大影响","PIA发现实际控制人或数据处理者未落实整改措施"]
trigger_phrases	["评估","顾问","数据合规","个人信息","PIPL"]

/pia-assessment-advisor — China Mainland

法律背景与法规框架

PIPL第55条明确规定了应当进行个人信息保护影响评估的五种情形：（一）处理敏感个人信息；（二）利用个人信息进行自动化决策；（三）委托处理个人信息、向其他个人信息处理者提供个人信息、公开个人信息；（四）向境外提供个人信息；（五）其他对个人权益有重大影响的个人信息处理活动。第56条则规定了PIA的内容要求。

PIA不仅是合规义务，更是企业风险管理的重要工具。通过PIA，企业可以系统性地识别数据处理活动中的隐私风险，并采取适当的控制措施降低风险。PIA报告在CAC执法检查、数据出境安全评估申报（作为自评估报告的基础）以及应对用户投诉时均可作为合规证明。GB/T 35273《个人信息安全规范》第11章提供了PIA的实践指南和评估要点。

工作流程

第一步：判断是否需要PIA

检查当前数据处理活动是否触发PIPL第55条的强制PIA情形：

触发PIA的必做情形：
□ 处理敏感个人信息（生物识别/医疗健康/金融账户/行踪轨迹/未成年人信息）
□ 利用个人信息进行自动化决策（信用评估/行为画像/个性化推送）
□ 委托处理个人信息（使用第三方数据处理服务）
□ 向其他个人信息处理者提供个人信息（数据共享/交易）
□ 公开个人信息
□ 向境外提供个人信息
□ 处理个人信息达到100万人的规模（通常认为的影响重大）
□ 处理不满14周岁未成年人的个人信息

不触发PIA但建议主动评估的情形：
□ 首次处理个人信息（新业务/新产品上线）
□ 个人信息处理目的、方式、范围发生重大变化
□ 引入新的技术或业务模式（如人脸识别上线的合规评估）
□ 个人信息安全事件后（复盘和修复）
□ 监管政策或法律法规更新导致合规要求变化

第二步：PIA评估实施

PIA评估框架（按PIPL第56条要求，结合GB/T 35273）：

维度一：处理目的、方式是否合法、正当、必要
├─ 处理目的是否明确？
├─ 处理方式是否与此前告知的一致？
├─ 数据收集是否限于最小必要范围？
└─ 处理是否有合法性基础？

维度二：对个人权益的影响及安全风险
├─ 数据处理活动可能对个人权益造成哪些不利影响？
│   ├─ 隐私侵犯风险
│   ├─ 歧视风险（如自动化决策导致的不公平对待）
│   ├─ 身份盗窃或欺诈风险
│   └─ 社会评价/声誉影响
├─ 受影响个人的规模和范围？
└─ 权益影响的严重程度？

维度三：所采取的保护措施是否合法、有效并与风险程度相适应
├─ 技术措施：加密、脱敏、访问控制、审计日志
├─ 管理措施：制度文件、责任人、培训
├─ 组织措施：责任分工、流程规范
├─ 应急措施：泄露应对、用户通知

风险评估矩阵：

可能性 ↓ 严重度 →	轻微	中等	严重
可能性高	中风险	高风险	极高风险
可能性中	低风险	中风险	高风险
可能性低	低风险	低风险	中风险

• 极高风险： 立即停止数据处理活动，须重新设计处理方式
• 高风险： 须采取额外控制措施降低风险后实施
• 中风险： 建议采取改进措施
• 低风险： 可继续处理，保持监控

第三步：PIA报告编制

PIA报告必备内容（PIPL第56条）：

1. 处理目的、处理方式是否合法、正当、必要
2. 对个人权益的影响及安全风险
3. 所采取的保护措施是否合法、有效并与风险程度相适应

PIA报告格式模板：

═══════════════════════════════════════
个人信息保护影响评估（PIA）报告
═══════════════════════════════════════
评估主体：[公司/组织名称]
数据处理活动：[描述]
评估日期：[日期]
评估负责人：[姓名]
报告编号：[编号]
═══════════════════════════════════════

## 1. 处理活动概述

- 数据收集目的：
- 数据类别和范围：
- 涉及用户数：
- 处理方式（收集/使用/存储/共享/公开/删除）：
- 自动化决策情况：

## 2. 合法性基础审查

- 合法性基础类型：[同意/合同必要/法律义务/其他]
- 告知义务履行情况：[已告知/未告知]
- 单独同意取得情况（如需）：[已取得/未取得]

## 3. 风险识别与评估

| 风险项 | 可能性 | 严重度 | 风险等级 | 现有控制措施 | 残余风险 |
|--------|-------|-------|---------|-------------|---------|
| 数据泄露 | 中 | 严重 | 高 | 加密+访问控制 | 中 |
| 个人权益影响 | ... | ... | ... | ... | ... |

## 4. 建议措施

1. [优先级] [措施描述] — [期望效果]

## 5. 评估结论

[可接受 / 有条件接受（须完成整改措施后实施）/ 不可接受]

## 6. 审批记录

| 审批人 | 职务 | 日期 | 意见 |
|-------|------|------|------|
| | | | |