个人信息保护影响评估（业内简称 PIA 或 DPIA），是个保法为企业设的“事前体检”制度：高风险处理活动上马之前，先自我评估一遍目的合法性、权益影响与保护措施，并把过程记录在案。它不面向个人用户，个人平时看不见它，但在监管检查与侵权诉讼里，这份评估报告是企业证明“尽到合规义务”的核心文书——没做，往往一问一个哑口。这篇讲清哪五类场景必须做、评估什么、漏做的代价。
一、规则层：五类强制场景
- 《中华人民共和国个人信息保护法》第五十五条有下列情形之一的，个人信息处理者应当事前进行个人信息保护影响评估，并对处理情况进行记录：
- （一）处理敏感个人信息；
- （二）利用个人信息进行自动化决策；
- （三）委托处理个人信息、向其他个人信息处理者提供个人信息、公开个人信息；
- （四）向境外提供个人信息；
- （五）其他对个人权益有重大影响的个人信息处理活动。
逐项对应常见业务：
- 处理敏感个人信息：收集人脸打卡、员工健康信息、用户行踪轨迹、儿童信息，上系统前评估；
- 自动化决策：算法推荐、精准定价、自动化风控拒贷、简历自动筛选——只要程序自动分析评估个人的行为习惯、兴趣爱好或经济健康信用状况并据此决策即触发，大数据杀熟的风控即在此列；
- 委托处理、对外提供、公开：外包客服接触用户数据、与关联公司共享会员数据、把获奖名单公开，都要事前评估；
- 向境外提供：跨境提供前评估是境外通道合规动作的组成部分，见网络数据安全管理条例实施，企业收集数据有什么新要求；
- 兜底项：其他对个人权益有重大影响的处理，如大规模处理未成年人信息、基于画像的差异化服务。
二、评估什么：三项法定内容
- 《中华人民共和国个人信息保护法》第五十六条个人信息保护影响评估应当包括下列内容：
- （一）个人信息的处理目的、处理方式等是否合法、正当、必要；
- （二）对个人权益的影响及安全风险；
- （三）所采取的保护措施是否合法、有效并与风险程度相适应。
- 个人信息保护影响评估报告和处理情况记录应当至少保存三年。
三个问题自问自答：能不能做（合法性）、做了会伤到谁（影响与风险）、防得住吗（措施与风险匹配）。第三项暗含“措施与风险相适应”的比例要求——收集人脸却只做明文存储，评估结论必然通不过。三年保存期是硬杠：报告与记录从形成时起算，执法检查、诉讼举证时拿不出底稿，评估就等于没做。
三、深入层：漏做评估的代价在哪几处显形
- 行政处罚：未履行个人信息保护义务落入第六十六条的处罚射程，责令改正、警告、没收违法所得直至罚款；对违法处理个人信息的应用程序可责令暂停或终止服务；
- 诉讼举证：第六十九条实行过错推定，处理者须自证没有过错。评估报告正是“事前已尽合理注意”的直接证据；高风险场景既没评估又出事故的，基本没有自证空间；
- 业务连环卡点：应用商店核验、合作方尽调、跨境通道备案都会索要评估材料，缺件导致合作与上架受阻。
换到个人视角：评估义务违反虽不直接等于侵权，但它大幅降低企业自证难度系数的反面——你起诉时，可以要求对方提交评估报告，提交不出或内容敷衍（模板化、无风险项）的，过错推定的天平明显向你倾斜。
四、操作层：企业做评估的六步
锁定触发场景
对照第五十五条五项逐一自查，新业务上线、新系统采购、新数据合作时重查一遍。
绘制数据地图
列出处理的信息种类、来源、字段、流向（内部模块、受托方、第三方、境外）、保存期限。
逐项评估
目的合法正当必要吗？对个人权益的影响与安全风险在哪？拟采取的加密、去标识化、权限、应急措施与风险匹配吗？不匹配的先整改再上马。
形成书面报告
按第五十六条三项内容成文，负责人签署，附数据地图与整改记录。
归档三年以上
报告与处理情况记录至少保存三年，归档要可检索。
动态更新
处理目的、方式、范围发生变更的重新评估；与年度合规审计衔接，审计义务见第五十四条。
五、常见误区
- 误区一：小公司不用做。 触发评估的是“场景”不是“体量”，处理一份人脸门禁名单的小商户同样落入第（一）项。
- 误区二：做完一次管终身。 处理活动变了要重新评估，报告只是时点快照。
- 误区三：评估就是走表格。 内容三项缺一不可，风险与措施不对应的形式化报告，在诉讼里反而坐实“明知风险未采取措施”。
- 误区四：评估报告可以不存。 三年保存期是法定义务，抽查与诉讼都要调取，删了等于自认未做。
六、问答
收束一句：影响评估的本质是“高风险先自证”，五类场景一张清单、三项内容一份报告、三年保存一条底线，企业缺哪块，个人的索赔就补哪块。敏感信息的处理门槛见体检报告、行踪轨迹、人脸信息：敏感个人信息为什么要单独同意；自动化决策滥用的认定与维权见大数据杀熟：价格歧视怎么认定，怎么维权？；数据安全的整体处罚框架见企业没做数据安全保护，会有什么处罚。
以上内容为一般性法律知识分享，不构成正式法律意见；具体案件请结合证据情况咨询执业律师。