上海
《个人信息保护法》作为个人信息保护领域的首部综合立法，明确对个人信息处理者提出了各种合规要求。其中包含了在特定情形下需要进行的个人信息保护影响评估（PIA）。PIA以数据映射为起点，数据处理活动为单位，多维度开展评估工作，可以全面提高企业数据合规程度，是目前可操作、可留痕、可证明、可审计性相对较强的合规项目。
一、什么是PIA？
个人信息保护影响评估（PIA）是针对个人信息处理活动，检查其合法合规程度，判断其对个人信息主体合法权益造成损害的各种风险，以及评估用于保护个人信息主体的各项措施有效性的过程。《个人信息保护法》中明确规定，在特定情形下个人信息处理者应当事前进行个人信息保护影响评估，且评估报告和处理记录应当至少保存三年。
二、为什么要做PIA？
（一）PIA是法律明确规定的强制性义务
如上文所述，《个人信息保护法》第五十五条明确规定了个人信息处理者应当进行PIA的几种情形，企业数据处理如果存在其中任何一种情形，PIA都将成为企业必须进行的合规项目。
（二）PIA是其他合规项目审查的必查文件
PIA作为个人信息处理者的基础合规要求，是某些特定行为审查的合规要求之一。例如，近日发布的《网络安全标准实践指南—个人信息跨境处理活动安全认证规范》明确规定了个人信息跨境认证的合规要求中包括了企业必须完成个人信息安全影响评估。
（三）PIA是面对监管的有效抗辩
企业面对监管机构或商业伙伴的调查、执法、合规性审计等活动时，可以证明其遵守了个人信息保护与数据安全等方面的法律、法规和标准的要求；如发生数据安全事件，PIA可用于证明企业已经主动评估风险并采取一定的安全保护措施，有助于减轻、甚至免除企业相关责任和名誉损失。
三、如何做PIA？
目前随着个人信息保护法律法规相继落地，PIA的流程与方法已逐步落地，并广泛被应用。
（PIA原理示意图）
(一)数据映射分析
数据映射分析是评估工作的基础。评估团队需根据个人信息的类型、敏感程度、收集场景、处理方式、涉及相关方等要素，对个人信息处理活动进行分类，并描述每类个人信息处理活动的具体情形。
数据映射分析的方法为数据调研，具体包括访谈、检査、測试等方式。调研内容主要包括个人信息收集、存储、使用、转让、共享、删除等环节涉及的个人信息类型、处理目的、具体实现方式等，以及个人信息处理过程涉及的资源(如内部信息系统)和相关方(如个人信息处理者、平台经营者、外部服务供应商、云服务商等第三方)。调研过程中应考虑己下线系统、系统数据合并、企业收购、并购及全球化扩张等情况。在数据映射分析完成后，评估团队需形成清晰的数据清单及数据映射图表，为后续的评估提供有效依据。
(二)风险源识别及安全事件可能性分析
评估团队将通过调研访谈、査阅支撑性文档、功能检査、技术测试等方式，从四大维度（网络环境和技术措施、个人信息处理流程、参与人员与第三方、业务特点和规模及安全态势）识别企业目前存在的主要风险源，再分析已实施的安全保护措施、相关方、处理规模等要素，评价安全事件发生的可能性等级。
(三)个人权益影响分析
评估团队会根据数据映射分析结果及确定需要评估的个人信息处理活动，结合相关法律、法规、标准的要求或企业自定义的个人信息安全目标，分析个人信息处理活动全生命周期或特定处理行为对个人权益可能产生的影响，以及个人信息泄露、毁损、丢失、滥用等安全事件对个人权益可能产生的影响，具体影响也包括四个维度：是否限制个人自主决定权、是否引发差别性待遇、是否使个人名誉受损或遭受精神压力以及是否使人身财产受损。
(四)风险评估、报告输出及整改建议
综合考虑安全事件可能性和个人权益影响程度两个要素，综合分析得出个人信息处理活动的安全风险等级。在完成针对特定个人信息处理活动影响评估之后，综合针对所有相关个人信息处理活动的评估结果，形成对企业整体的风险等级，并出具评估报告。企业需要进一步落实报告中提出的整改方案。
本文从PIA的适用条件、为什么进行以及如何进行三个方面，对个人信息保护影响评估进行了介绍，从目前的实务角度来看，个人信息保护影响评估已经成为医疗、金融等个人信息密集型行业普遍需要完成的合规项目。接下来的文章将对近期陆续出台的数据出境的相关规则以及企业需要进行的合规事项进行介绍，敬请期待。
特别声明：以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布，本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
