数据保护影响评估方法

数据保护影响评估方法

一、数据保护影响评估的法律依据

个人信息保护法明确规定，个人信息处理者在处理敏感个人信息、利用个人信息进行自动化决策、委托处理个人信息、向其他处理者提供个人信息、公开个人信息、向境外提供个人信息以及其他对个人权益有重大影响的信息处理活动前，应当进行个人信息保护影响评估。数据安全法也要求重要数据处理者定期开展风险评估。

数据保护影响评估不是一次性的合规动作，而是贯穿数据处理活动全生命周期的风险管理工具。评估目的是识别数据处理活动可能对个人信息权益产生的风险，评估保护措施的有效性，并提出风险控制方案。

二、评估的触发场景

企业应在以下场景启动数据保护影响评估：

处理敏感个人信息，包括生物识别信息、金融账户信息、行踪轨迹信息、健康医疗信息、宗教信仰信息、不满十四周岁未成年人个人信息等。

利用个人信息进行自动化决策，尤其是涉及信用评估、用户画像、个性化推荐、差异化定价等可能对个人权益产生显著影响的场景。

委托处理个人信息的场景，特别是委托处理大量个人信息或敏感个人信息的场景。

向第三方提供个人信息，包括共享、转让和公开披露等。

从第三方间接获取个人信息，对于处理目的和处理方式发生变更的间接获取场景。

向境外提供个人信息，无论通过安全评估还是标准合同路径。

处理涉及大规模个人信息或对个人权益有重大影响的其他场景，如大规模生物识别应用、公共区域视频监控分析、员工行为监控系统等。

三、评估的组织实施

企业应指定评估的责任部门，一般由数据保护部门或合规部门牵头组织。评估工作可由内部团队自行开展，也可委托具备数据保护专业能力的第三方机构实施。

评估团队的组成应包含以下专业人员：数据保护或合规专业人员、被评估数据处理活动的业务负责人、技术安全专业人员、法律事务人员。对于复杂的评估项目，还可以引入外部专家提供独立意见。

评估流程一般包括以下阶段：评估准备阶段，明确评估目标和范围、组建评估团队、制定评估计划。数据梳理阶段，收集和整理涉及的数据处理活动信息，包括数据流图、数据分类分级结果、处理目的和法律依据。风险识别阶段，识别数据处理活动中可能对个人权益产生损害的风险，评估风险发生的可能性和影响程度。措施评估阶段，评估现有保护措施是否充分有效，识别保护措施的差距。风险控制阶段，提出风险控制方案，确定剩余风险是否可接受。报告编制阶段，编写评估报告并提交管理层审批。

四、评估的核心内容

数据处理活动的描述。包括处理目的和方式、处理的个人信息类型和范围、涉及的数据主体类型和数量、处理环节和数据流转路径、涉及的系统和技术工具、参与处理的内部部门和外部机构。

正当性和必要性分析。评估处理目的合法性基础是否充分，处理方式是否符合必要性原则，是否存在过度收集或超范围使用的情形。对敏感信息的处理，应进一步评估增强型同意的获取情况和特别保护措施的落实情况。

对个人权益的影响分析。评估数据处理活动可能对个人权益带来的影响，包括但不限于：个人信息泄露、篡改、丢失的风险，自动化决策不透明导致的不公平对待风险，信息被滥用或超出授权范围使用的风险，个人自主权和控制权被削弱的风险。影响分析应结合具体业务场景和数据特性，避免泛泛而谈。

保护措施的有效性评估。评估已采取的组织措施和技术措施是否足以应对识别出的风险。组织措施包括内部管理制度、岗位设置和责任划分、员工培训等。技术措施包括访问控制、加密、脱敏、日志审计、备份恢复等。

五、评估报告的内容要求

评估报告应至少包括以下内容：评估工作的基本信息，包括评估日期、评估团队、评估范围和依据的文件和标准。数据处理活动描述，清晰呈现被评估的数据处理活动全景。风险识别和评估结果，列出主要风险点及其等级。现有保护措施的评估意见，指出措施的有效性和不足之处。风险控制建议，提出改进措施和优先顺序。剩余风险说明，经风险控制后仍然存在的风险及可接受性判断。评估结论，总体评估意见和后续跟踪安排。评估报告应有明确的签署人和审批记录。

六、评估后的跟踪管理

评估不是终点，而是持续改进的起点。企业应建立评估结果的跟踪管理机制：

评估报告提出的风险控制建议应明确责任部门、完成时限和验收标准。责任部门应按计划落实改进措施，定期向合规部门反馈进度。

合规部门跟踪整改落实情况，对到期未完成的任务进行催办和升级处理。对于重大风险，应报请企业管理层协调解决。

企业应建立评估档案管理制度，保存评估原始记录、过程文件和最终报告。评估档案的保存期限应不低于相关法律规定的诉讼时效或监管要求的保存期限。

评估场景发生重大变化时，如信息处理范围扩大、业务模式变更、法律环境变化，应及时启动重新评估。

FAQ

问：数据保护影响评估应当多久做一次？ 答：法律规定在特定处理活动前应当进行评估，但不是一次评估永久有效。当处理目的、处理方式、信息类型、敏感程度、技术措施等发生重大变化时，或法律环境发生重大变化时，应当重新进行评估。企业可考虑建立年度定期评估机制，结合各业务场景的变化情况进行周期性评估，以确保评估结论始终符合实际情况。

问：中小企业如何低成本开展数据保护影响评估？ 答：中小企业可优先选择关键业务场景进行评估，如涉及敏感信息处理或大量用户数据的场景。可使用行业通用的评估模板和检查清单，降低评估的组织成本。日常操作中做好数据资产清单和数据处理活动记录，为评估提供基础素材。评估可聚焦核心风险和高频场景，逐步覆盖更多业务领域。北京企密安（010-63711822 baomiwang.com）可为企业提供数据保护影响评估服务与模板工具。

北京企密安 010-63711822 baomiwang.com