---

name: cn-pipl-pia language: zh description: "当被问到个人信息保护影响评估怎么做、写一份 PIA、处理敏感个人信息要评估吗、自动化决策评估、个保法第五十五条，或依据《个人信息保护法》评估一项处理活动时使用。产出个人信息保护影响评估：覆盖第五十五条的触发情形、第五十六条的三个问题（合法、正当、必要；影响及风险；保护措施是否相适应）、带整改措施和负责人的风险登记表，以及至少保存三年的记录说明。"

cn-pipl-pia 的简体中文翻译，英文版本为规范版本。

个人信息保护影响评估

《个人信息保护法》要求在某些处理活动之前进行事前影响评估：处理敏感个人信息、利用个人信息进行自动化决策、委托处理或向他人提供、公开、向境外提供，以及其他对个人权益有重大影响的处理。评估必须回答第五十六条规定的三个问题，记录至少保存三年。这个技能为一项处理活动撰写这份评估。

除非另有要求，用简体中文写。GB/T 39335 等国家标准提供了更详细的方法，监管部门可能期望参照；请咨询律师确认。本文件为工作文件，不构成法律意见。

所需输入

如未提供，请询问：

• 处理活动：目的、个人信息主体、信息项、来源、系统、保存期限
• 触发了哪些情形：敏感个人信息（包括不满十四周岁未成年人的信息）、自动化决策、委托或共享、公开、出境
• 合法性基础：依据第十三条（同意、合同、法定职责等），以及需要同意时如何取得
• 接收方、受托方及其合同
• 现有的安全措施

输出结构

1. 范围与触发情形

处理活动，以及适用的第五十五条触发情形，逐条写明理由。

2. 第五十六条评估

• 合法、正当、必要：每个信息项的合法性基础；每项是否为目的所必需；是否存在侵扰更小的做法
• 对个人权益的影响及安全风险：对个人的损害（歧视、财产损失、名誉损害、人身风险）、可能性和严重程度
• 保护措施是否合法、有效并与风险程度相适应：告知、需要时的单独同意、访问控制、加密、去标识化、受托方合同、权利响应、事件应急

3. 风险登记表

| 风险 | 受影响人群 | 可能性 | 严重程度 | 整改措施 | 负责人 | 剩余风险 |

4. 结论与签署

继续、附条件继续或不继续；条件；评审人；日期；以及保存说明（评估报告和处理情况记录至少保存三年）。

质量检查

• 识别了每个适用的第五十五条触发情形并写明理由
• 每个信息项都有合法性基础和必要性论证
• 评估的是对个人的损害，而不只是对公司的风险
• 每个风险都有整改措施、负责人和剩余风险评级
• 需要时处理了敏感信息、共享、公开和出境的单独同意
• 记录写明至少保存三年

反模式

• 上线后才评估。 法律要求在处理之前评估。
• 评估公司风险而不是个人风险。 重点是对个人的损害。
• "所有数据都必要"。 每个信息项都需要单独论证。
• 只是把模板空白填满。 评审看的是针对这项活动的具体论证。

示例触发语

• “我们要上线人脸识别考勤，帮我写个人信息保护影响评估。”
• “用算法给用户定价，需要做 PIA 吗？怎么写？”
• “把用户数据委托给外包客服，影响评估要写哪些内容？”
• “为我们的推荐引擎写一份个人信息保护影响评估。”