2、PIA触发条件：哪些项目需要做PIA、高风险处理活动的判断标准、PIA启动的时机

好，咱们直接进入正题。这一章聊的是PIA的“开关”问题——什么时候必须做，什么时候可以缓一缓。我见过不少团队，要么啥项目都做PIA，累死法务；要么啥都不做，等监管上门了才后悔。说白了，PIA不是万能药，但该吃的时候一定得吃。

2.1 哪些项目必须做PIA？

我个人习惯，先看法规的硬性要求。根据《个人信息保护法》第55条，下面这五种情况，不做PIA就是违法：

• 处理敏感个人信息——比如人脸、指纹、医疗健康、行踪轨迹等。嗯，这里要注意，敏感信息的范围比你想的宽，连“不满十四周岁未成年人信息”也算。
• 利用个人信息进行自动化决策——说白了就是算法“替你做决定”。比如信贷审批、招聘筛选、个性化推荐。我在项目中遇到过一家金融公司，用AI模型给用户打分，结果完全没做PIA，被罚了200万。
• 委托处理个人信息——你把数据交给第三方处理，比如云服务商、外包客服。这时候你得评估对方靠不靠谱。
• 向境外提供个人信息——数据出境，这个现在查得特别严。
• 其他对个人权益有重大影响的活动——这是个兜底条款。我建议你把它理解为“你觉得可能会出事的情况”。

2.2 高风险处理活动的判断标准

你可能会问：“我怎么知道算不算高风险？” 我一般用下面这个四维模型来判断。你想想看，如果四个维度里有两个以上亮红灯，那基本就是高风险了。

维度	低风险	中风险	高风险
数据敏感性	公开信息、基本联系方式	消费记录、社交信息	生物识别、医疗、金融、未成年人信息
处理规模	少于1000人	1000-10万人	超过10万人，或涉及全网用户
处理方式	人工处理、简单存储	系统自动化处理	自动化决策、大规模监控、数据融合
对个人影响	几乎无影响	可能造成不便	可能造成歧视、财产损失、名誉损害

2.3 PIA启动的时机

时机这东西，我吃过亏。以前有个项目，产品都快上线了才想起来做PIA，结果发现数据流设计有问题，整个架构要重改。那叫一个惨。

所以我的建议是：PIA一定要在“设计阶段”启动。具体来说，有四个关键节点：

1. 项目立项时——这时候业务需求刚出来，数据流向还没定死。改起来成本最低。
2. 数据流设计前——你还没决定用哪个云、怎么存数据。这时候做PIA，可以提前规避很多坑。
3. 第三方合作签约前——别等合同签了才发现对方数据保护能力不行。我见过一家公司，跟外包商签了协议才发现对方连基本加密都没有，解约赔了违约金。
4. 重大变更时——比如数据用途变了、处理规模扩大了、引入了新技术（比如AI）。这时候必须重新做PIA。

2.4 一个简单的判断流程

如果你还是拿不准，可以用下面这个逻辑走一遍。我管它叫“三问法”：

• 第一问：这个项目处理的是敏感个人信息吗？ → 是 → 做PIA
• 第二问：这个项目会对个人权益产生显著影响吗？ → 是 → 做PIA
• 第三问：这个项目涉及大规模处理或数据出境吗？ → 是 → 做PIA

如果三个问题都答“否”，那你可以先做个轻量级的评估，记录一下理由。但说实话，我做了这么多年，真正能跳过PIA的项目少之又少。你想想看，但凡有点价值的业务，多少都会碰点数据。