3. 合规基线梳理与差距分析

敏感个人信息保护不是“把《个人信息保护法》读一遍”就能落地的事情。真正决定企业风险水平的，是能否把法律条文拆解成一条条可核对的合规基线，再拿这条基线去量企业现有的制度、流程和技术措施，找出“法律要求什么、我们现在做到什么、差在哪里、先补哪里”。这一节就围绕这条主线展开：先建立基线，再做差距分析，最后形成整改优先级矩阵。

一、把法条拆成可核对的合规基线

《个人信息保护法》对敏感个人信息的规定集中在第二十八条至第三十二条，核心要求可以归纳为五类：特定目的与充分必要性（第二十八条）、单独同意（第二十九条）、告知义务的强化（第三十条，需说明处理必要性及对个人权益的影响）、未成年人特别保护（第三十一条，不满十四周岁需取得监护人同意并制定专门处理规则）、个人信息保护影响评估（PIA）（第五十五条，处理敏感个人信息前必须事前评估并留存记录至少三年）。此外，第四十七条的删除义务、第五十一条的安全措施义务、第五十二条的负责人指定、第五十九条的受托方监督义务，同样适用于敏感个人信息场景。

把这些要求转成基线，关键是“可验证”。例如“取得单独同意”不能只写成一句原则，而应拆成：同意入口是否独立于隐私政策、是否单独弹窗或单独勾选、是否记录同意时间与版本、是否支持撤回、撤回路径是否与授权路径同等便捷。基线条目越具体，后续差距分析才越有抓手。建议每条基线都带上三个属性：法规出处、验证方式（查文档/看系统/抽样测试/访谈）、合格判据。

二、差距分析的四个维度

差距分析的本质是“逐条比对、留痕判断”。对每一条基线，从四个维度取证：

• 制度维度：是否有书面制度、是否覆盖敏感个人信息、是否明确单独同意与PIA要求、是否定期评审。
• 流程维度：收集、存储、使用、共享、删除各环节是否有审批与记录；单独同意是否在流程中真实发生；PIA是否在“处理前”完成而非事后补做。
• 技术维度：是否加密存储、是否脱敏展示、是否最小化采集、是否具备访问控制与审计日志、是否支持删除与撤回。
• 证据维度：能否提供同意记录、PIA报告、培训记录、审计日志、委托处理协议等可核查材料。

判断结果通常分三档：符合（有制度、有执行、有证据）、部分符合（有制度但执行不到位，或执行了但无留痕）、不符合（缺失或存在明显违规）。这里最容易踩的坑是“有制度即视为符合”——监管和审计看的是执行证据，不是文件本身。

三、整改优先级矩阵：把差距排成可执行的顺序

差距清单出来后，不能平均用力。建议用“风险影响”和“整改难度”两个维度构建优先级矩阵：风险影响考虑涉及人数、敏感程度、是否已发生投诉或泄露、是否触发高额处罚；整改难度考虑技术改造成本、跨部门协调量、上线周期。高影响低难度优先做，高影响高难度要立项攻坚，低影响低难度可批量处理，低影响高难度可暂缓或接受残余风险。

矩阵的价值在于“排序”而非“分类”。同样一条“单独同意缺失”，如果涉及的是门禁人脸（全员、高频、不可替代），风险影响就高；如果只是某个边缘小程序的昵称头像，影响就低。因此打分时建议引入三个量化因子：涉及人数（如 5000 人以上记 3 分）、敏感等级（生物识别/医疗健康记 3 分，一般敏感记 2 分）、已发生事件（有投诉或泄露记 3 分）。三项加总后映射到纵轴，比主观判断更稳定。

四、一个可复用的差距分析工作底稿

为了让分析可追溯，建议用统一底稿逐条记录。下面给出一个示例结构，字段可根据企业实际增减：

底稿填完后，把“风险分”和“难度分”分别映射到矩阵坐标，即可自动落入四个象限。建议每季度复评一次，因为业务变化会改变风险分，技术投入会改变难度分，优先级不是一次定终身。

最后要强调：合规基线不是静态文档，而是随法规更新、业务扩展、技术演进持续维护的活清单。把基线、差距、优先级矩阵三者串成闭环，敏感个人信息保护才能从“纸面合规”走向“可验证的合规”。