个人信息保护影响评估：五类情形必须做、三项内容必须答、报告存三年

一句话定义：个人信息保护影响评估是处理者在特定高风险处理活动开始之前，依法自行开展的一项合规评估——个人信息保护法第五十五条列了五类必须评估的情形，第五十六条列了三项必答内容，并规定评估报告与处理情况记录至少保存三年。它是「自己评、自己留、备查」，不是「报主管部门审批」；这一点是它与数据出境安全评估最根本的区别。

本词条属于网络与数据栏目。这一领域最常见的三种混淆，代价都不小：把影响评估当成出境安全评估，以为做完自评就可以出境；把影响评估当成重要数据的年度风险评估，漏了年度报送；把影响评估当成一次性的合规动作，做完就归档不再更新。三种混淆的共同根源，是把「四个长得像的评估」当成了一个。

构成要件

一、它是自评估，义务是「做并留」，不是「报并批」。 第五十五条的表述是「应当事前进行个人信息保护影响评估，并对处理情况进行记录」；第五十六条要求「评估报告和处理情况记录应当至少保存三年」。全文没有要求报送、没有要求审批、没有要求备案。这一点必须记牢：做完自评不等于取得了出境的通行证——出境还要按第三十八条走安全评估、认证或者标准合同；反过来，出境安全评估通过，也不等于免除了第五十五条的影响评估。两件事都要做，不能互相抵。

二、五类触发情形要逐条对照，不是「觉得有风险就做」。 第五十五条列的是封闭清单：处理敏感个人信息；利用个人信息进行自动化决策；委托处理个人信息、向其他个人信息处理者提供个人信息、公开个人信息；向境外提供个人信息；其他对个人权益有重大影响的个人信息处理活动。前四项是硬触发，第五项是兜底。实务中漏得最多的是第三项的前半段——委托处理：很多企业以为「数据没出门、只是让供应商代跑一下」就不用评估，但条文把「委托处理」与「提供」「公开」并列，一样要评。

三、三项内容对应三个问题，答不全就是没做。 第五十六条要求评估包括：处理目的、处理方式等是否合法、正当、必要；对个人权益的影响及安全风险；所采取的保护措施是否合法、有效并与风险程度相适应。这三项不是并列的填空题，而是递进的三问：先问「该不该做」（合法性、正当性、必要性），再问「会有什么后果」（影响与风险），最后问「挡不挡得住」（措施与风险的匹配度）。很多评估报告只写了第三项，把前两项跳过去，这种报告在检查时基本等于没做。

四、时点是「事前」，「事后补评」不成立。 第五十五条用的是「事前进行」。这意味着评估必须在处理活动上线、上线新功能、开始对外提供之前完成。事后补做的评估，即使内容再完整，也无法改变「未经评估即处理」的事实。判断时点的实用方法：把评估完成日期与功能上线日期、合同签署日期、数据实际传输日期做比对，任何一项早于评估完成日期，都属于程序瑕疵。

五、保存期限是三年，且保存的是两份东西。 第五十六条第二款写的是「评估报告和处理情况记录应当至少保存三年」。两份都要存：报告是结论，处理情况记录是过程。只存报告不存记录，等于只有结论没有依据。三年是底线，不是上限：涉及诉讼、投诉、检查的，应当保存到事项处理完毕之后。

六、与重要数据的年度风险评估是两套制度。 数据安全法第三十条要求重要数据的处理者「按照规定对其数据处理活动定期开展风险评估，并向有关主管部门报送风险评估报告」；《网络数据安全管理条例》第三十三条把「定期」明确为「每年度」，报送对象是「省级以上有关主管部门」，并列出七项报告内容。两者的差别有四处：触发方式不同（影响评估是场景触发，年度评估是时间触发）；对象不同（个人信息对重要数据）；是否报送不同（留存备查对报送主管部门）；频率不同（一次性对每年度）。重要数据处理者往往两套都要做，不能只做一套。

七、与数据出境安全评估是两条完全不同的轨道。 出境安全评估由国家网信部门组织，性质是行政机关的审查；影响评估由处理者自己组织，性质是企业内部的合规程序。一个是对外申报，一个是对内留档。实务中最危险的误解是「我们做过个人信息保护影响评估了，所以出境没问题」——这句话在逻辑上等于「我做过体检，所以不用办签证」。

八、评估不能替代告知同意，也不能替代单独同意。 评估解决的是「处理者自己该不该做、怎么做」；告知同意解决的是「个人是否授权」。两者是并行的义务，不是替代关系。常见错误是评估报告里写「本项目已取得用户同意，故风险可控」，把同意当作风险控制措施——同意只是合法性基础之一，不能降低处理活动本身的风险等级。

九、评估结论不是「通过或不通过」的闸门，而是「识别→匹配」的记录。 法条没有规定「评估不通过就不得处理」。它的实际功能是两件事：一是促使处理者在动手之前把风险和措施想清楚；二是留下可查的记录，在检查或者诉讼中证明已履行注意义务。因此评估报告的正确写法是「识别了哪些风险、采取了哪些措施、剩余风险是什么、为什么可以接受」，而不是「本项目风险较低，同意实施」这种一句话结论。

十、委托第三方做评估，不转移法律责任。 实务中大量企业请外部机构做评估。这在技术上没问题，但义务主体仍是处理者本人：第五十五条的义务落在「个人信息处理者」身上，第三方只是受托编制文件。评估结论失实、遗漏触发情形、措施建议明显不当的，责任仍由处理者承担。因此合同里应当约定：评估范围、资料清单、底稿交付、结论责任分担，以及后续变更时的复评安排。

十一、不做评估的后果，落在「未履行保护义务」这一档。 第五十五条是处理者的法定义务，未履行的，落入第六十六条「处理个人信息未履行本法规定的个人信息保护义务」的范围，处罚档次与违法处理个人信息相同。注意这是一个独立的违法事由：即使处理活动本身合法（比如已取得同意、属于履行合同必需），只要属于五类情形而未做评估，仍然构成违法。这一点的实务意义在于：合规检查往往从「有没有评估报告」入手，而不是从「处理行为是否合法」入手。

法条依据

与相邻概念的区别

第一，与重要数据年度风险评估的区别。 见前述第六项。补一层：两者可能同时命中——处理重要数据又涉及敏感个人信息，既有年度报送义务，又有场景触发的评估义务。合并做的正确方式是一份底稿、两份报告：风险识别、措施有效性共用一套材料，但按各自的格式与报送要求分别成文，不要用一份报告去满足两套制度，因为报送对象与内容项不同。

第二，与数据出境安全评估的区别。 出境安全评估由网信部门组织，有申报、受理、审查、结论的完整行政程序，结论有明确的有效期与适用范围；影响评估是企业自己组织，没有对外程序。判断方法很简单：看有没有「向谁提交」这一步——有，是出境安全评估；没有，是影响评估。两者在出境场景下必须都做，不是二选一。

第三，与网络安全等级保护测评的区别。 等保测评针对的是网络系统，评的是系统的安全保护等级是否达到要求，由具备资质的测评机构实施，结论与备案、监督检查挂钩；影响评估针对的是个人信息处理活动，评的是处理行为对个人权益的影响。两者的对象完全不同：一个是「系统牢不牢」，一个是「处理该不该、影响有多大」。做过等保测评，不能替代影响评估。

第四，与合规审计的区别。 审计是对已经发生的行为作事后核查，评估是对拟开展的行为做事前预测。方向相反：评估往前看，审计往回看。两者可以衔接：审计发现的系统性问题，应当成为下一轮评估的重点；评估识别的剩余风险，应当成为审计的检查项。用审计代替评估，时点上就错了。

第五，与告知同意的区别。 评估是处理者的内部义务，告知同意是对个人的外部义务。两者不可互相替代，也不能互相减轻：取得了同意，风险仍然存在，措施仍要匹配；评估结论良好，也不能跳过告知与单独同意。实务中最典型的错误表述是「已通过影响评估，故无需再单独告知」——这句话把两件事的因果搞反了。

第六，与「内部风险评估制度」的区别。 很多企业本来就有风控、合规、信息安全的风险评估流程。这些内部制度可以作为底稿基础，但不能自动满足第五十五条：法条要求的三项内容、五类触发情形、三年保存期限，是硬性要件，内部流程如果没有覆盖这些要件，就不能主张已履行义务。务实的做法是在既有流程上加一张「第五十五条对照表」，逐项标注覆盖情况，缺什么补什么。

实操指引

第一步，先做触发情形筛查表，不要先写报告。 把全部处理活动列成清单，逐条对照五类情形打勾。这张表的作用是防止漏评：漏评在检查中比评得不好更严重，因为漏评意味着连「知道要做」都没做到。筛查表建议三列：处理活动、命中情形、评估结论摘要。每年更新一次，新增功能上线前单独过一遍。

第二步，把三项内容写成三段，不要写成一张打分表。 第一段答「合法、正当、必要」：依据哪一条合法性基础、目的是否具体、范围是否最小；第二段答「影响与风险」：影响哪些人、影响什么权益、可能造成什么后果、可能性与严重程度；第三段答「措施与匹配」：采取什么措施、措施针对哪个风险、剩余风险是什么、为什么可以接受。三段式的好处是每一段都能被单独检查，缺哪一段一目了然。

第三步，把「处理情况记录」当成独立材料来做。 报告是结论，记录是过程。记录至少包含：评估时间、参与人员、资料清单、讨论要点、结论与理由、审批人。这一项最容易被省掉，而它恰恰是证明「评估真实发生过」的关键——只有一份格式漂亮的报告，没有过程记录，很容易被质疑为事后补制。

第四步，建立「变更即复评」的机制。 目的变了、方式变了、信息种类变了、接收方变了、量级跨档了，都应当触发复评。最低要求是设一张变更清单，与第五十五条筛查表联动；涉及出境、敏感个人信息的变更，复评应当在变更上线前完成。复评不必重写全部报告，做一份补充评估附在原报告后即可，但要保留版本对应关系。

第五步，把三年保存做成制度而不是习惯。 明确保管责任人、存放位置、检索方式、到期处理规则。建议按「处理活动」而不是按「年份」归档，因为争议发生时是按事项调取材料。涉及诉讼、投诉、检查的，延长至事项处理完毕。

第六步，把评估结论接进业务流程。 评估不是写完就结束：结论里的措施要求要落到产品需求、合同条款、权限配置上；剩余风险要有人签字确认；高风险项要有整改时间表。这一层如果断了，评估就变成一份与实际操作无关的文件，在检查中反而会成为「明知风险而未采取措施」的证据。

常见问题