2、PIA启动时机：哪些场景必须做PIA

说实话，我见过太多团队把PIA当成「事后补票」的流程。项目都快上线了，才想起来问一句：「哎，我们是不是该做个隐私评估？」

嗯，这时候做，基本就是走个过场了。真正的PIA，应该在决策之前介入。

2.1 哪些场景必须做PIA

先说说硬性要求。根据《个人信息保护法》第55条和56条，有五种场景是必须做PIA的，不做就是违规：

1. 处理敏感个人信息——比如生物识别、医疗健康、金融账户、行踪轨迹等
2. 自动化决策——用算法做用户画像、信用评分、贷款审批等
3. 委托处理/对外提供——把数据交给第三方，或者跟合作伙伴共享
4. 向境外提供——数据出境，这个现在管得特别严
5. 其他对个人权益有重大影响——这是个兜底条款，说白了就是「你觉得风险大，那就做」

2.2 新产品/新功能上线前的PIA

这个场景最容易被忽视。很多产品经理觉得：「我只是加了个小功能，不用那么麻烦吧？」

我告诉你，恰恰相反。小功能往往藏着大坑。

举个例子。你给App加了个「好友推荐」功能，看起来很简单对吧？但背后涉及：

• 读取用户的通讯录（敏感权限）
• 分析用户的社交关系（用户画像）
• 向其他用户展示你的信息（对外提供）

你看，一个「小功能」触发了至少三个PIA触发条件。

我个人习惯的做法是：在产品需求文档（PRD）评审阶段，就让隐私团队介入。不是等开发完了再评估，而是在「画原型图」的时候就开始问：

• 这个功能会收集哪些新数据？
• 数据流向是怎样的？
• 用户会被告知吗？
• 用户有选择权吗？

2.3 第三方合作中的PIA

第三方合作，是PIA的「重灾区」。为什么？因为数据一旦出了你的手，你就很难控制了。

我总结了三类必须做PIA的第三方场景：

合作类型	典型场景	PIA重点
数据处理方	云服务商、数据分析公司、客服外包	数据安全能力、数据留存期限、是否转委托
数据接收方	广告投放、联合营销、API接口调用	使用目的限制、数据最小化、用户授权范围
SDK/第三方代码	统计SDK、推送SDK、支付SDK	数据收集范围、是否共享给第三方、隐私政策一致性

你想想看，很多App里嵌了十几个SDK，每个SDK都在偷偷收集数据。你以为只是「调了个接口」，实际上数据已经流到了你根本不知道的地方。

我建议的做法是：

1. 合作前——让第三方填写《数据安全问卷》，评估他们的安全能力
2. 合作中——在合同里明确数据使用边界，约定审计权
3. 合作后——定期检查数据是否被超范围使用

2.4 启动PIA的「黄金时间」

说了这么多，到底什么时候启动PIA最合适？

我的答案是：越早越好，最晚不晚于开发启动前。

具体来说，我建议按这个时间线走：

• 概念阶段——初步判断是否需要PIA（5分钟）
• 设计阶段——完成PIA初稿，识别主要风险（1-2天）
• 开发阶段——根据PIA结果调整方案（持续跟进）
• 测试阶段——验证隐私控制措施是否落地（1天）
• 上线前——最终确认，签署PIA报告（半天）

说白了，PIA不是一次性的「检查」，而是一个贯穿产品全生命周期的过程。你越早发现问题，改起来成本越低。