个人信息保护影响评估（PIA）怎么做？解发条件、实施步骤、操作指南

个人信息保护一直是人们关注的热点话题，互联网、人工智能、大数据等新兴技术的快速发展极大地增强了入侵个人信息的能力，对个人信息的随意收集、违法获取、过度使用、非法买卖、泄露等问题引起了全球各国的普遍关注。同时随着用户的个人信息保护意识的逐步增强，市场上也建立起完善个人信息保护的各项制度。

2021年11月1日生效实施的《个人信息保护法》是我国第一部在个人信息保护领域的综合性立法，其第55条明确提出了个人信息处理者在开展个人信息处理活动前应进行个人信息保护影响评估。至此，个人信息保护影响评估明确为个人信息处理者的法定合规义务。

1、什么是个人信息保护影响评估

“个人信息保护影响评估”也称“个人信息安全影响评估”，是针对个人信息处理活动，检验其合法合规程度，判断其对个人合法权益造成损害的各种风险，以及评估用于保护个人的各项措施有效性的过程。

个人信息保护影响评估是一种风险管理工具，它可以帮助个人信息处理者识别和分析其处理活动可能带来的法律、技术、组织等方面的风险，并采取相应的措施来降低或消除这些风险，从而提高个人信息处理的安全性和合规性。

• 2017年12月，早在《个人信息保护法》出台之前，2017年12月发布的《信息安全技术 个人信息安全规范（GB/T 35273-2017）》就提出了“个人信息安全影响评估”。要求个人信息控制者建立个人信息安全影响评估制度，定期（至少每年一次）开展个人信息安全影响评估；

• 2020年3月发布的《信息安全技术 个人信息安全规范（GB/T 35273-2020）》对个人信息安全影响评估作了进一步延续了这个规定。

• 2020年11月发布的《信息安全技术 个人信息安全影响评估指南（GB/T 39335-2020）》明确了个人信息安全影响评估的原理、评估的具体实施流程，对评估的实务工作有了更强的指导意义。

• 2021年11月第十三届全国人民代表大会常务委员会第三十次会议通过《个人信息保护法》明确了个人信息处理者应当事前进行个人信息保护影响评估的五类情形。

• 2022年7月发布的国家互联网信息办公室发布《数据出境安全评估办法》规定数据处理者向境外提供数据，满足规定情形，应当通过所在地省级网信部门向国家网信部门申报数据出境安全评估。

• 2023年3月发布的国家互联网信息办公室发布《个人信息出境标准合同办法》规定个人信息处理者向境外提供个人信息前，应当开展个人信息保护影响评估，并对重点评估的内容作了进一步规定。

• 2023年5月发布的《信息安全技术 个人信息处理中告知和同意的实施指南（GB/T 42574—2023）》对涉及使用自动化决策方式处理个人信息的等情形需要开展个人信息保护影响评估作了进一步确认。
  2、开展个人信息保护影响评估的价值

实施个人信息安全影响评估，能够有效加强对个人信息主体权益的保护，有利于组织对外展示其保护个人信息安全的努力，提升透明度，增进个人信息主体对其的信任，具体包括以下六个层面的价值：

01 识别风险：在开展个人信息处理前，组织可通过影响评估，识别可能导致个人信息主体权益遭受损害的风险，并据此采用适当的个人信息安全控制措施。

02 控制风险：对于正在开展的个人信息处理，组织可通过影响评估，综合考虑内外部因素的变化情形，持续修正已采取的个人信息安全控制措施，确保对个人合法权益不利影响的风险处于总体可控的状态。

03 有效证明：个人信息安全影响评估及其形成的记录文档，可帮助组织在政府、相关机构或商业伙伴的调查、执法、合规性审计等中，证明其遵守了个人信息保护与数据安全等方面的法律、法规和标准的要求。

04 合规抗辩：在发生个人信息安全事件时，个人信息安全影响评估及其形成的记录文档，可用于证明组织已经主动评估风险并采取一定的安全保护措施，有助于减轻、甚至免除组织相关责任和名誉损失。

05 提升风险意识：组织可通过个人信息安全影响评估，加强对员工的个人信息安全教育。参与评估之中，员工能熟悉各种个人信息安全风险，增强处置风险的能力。

06 增强信任：对合作伙伴，组织通过评估的实际行动表明其严肃对待个人信息安全保护，并引导其能够采取适当的安全控制措施，以达到同等或类似的安全保护水平。