📘 DPIA 触发条件

⚡ 高风险 · 精准识别

🔍 一、何时必须进行DPIA

✓ GDPR 第35条 明确规定：当一种处理活动（尤其是使用新技术）可能对自然人的权利与自由产生高风险时，必须在处理前进行数据保护影响评估（DPIA）。
✓ 系统性 & 大规模 处理特殊类别数据（健康、生物识别、政治观点、宗教等）或与刑事定罪相关的数据。
✓ 公开区域大规模监控（如CCTV、人脸识别、行为追踪）。
✓ 基于自动化决策 对个人产生法律效力或类似重大影响（信用评分、招聘筛选、保险定价）。
✓ 跨境传输 在缺乏充分性保护的国家或地区进行大规模数据转移。

📋 高风险处理活动识别标准

维度	高风险特征	示例
👥 数据规模	涉及超过10万人的数据主体	全国性健康数据库
📁 数据类别	特殊类别数据 (GDPR第9条) 或高度个人数据	基因、生物识别、性取向
🤖 自动化决策	产生法律或类似重大影响	自动拒绝贷款、算法招聘
📡 监控范围	对公众或员工进行系统性监控	工作场所生产力监控、智慧城市摄像头
🔗 数据匹配/组合	来自不同来源的数据集合并	信用机构与社交数据融合
🌐 跨境传输	向无充分保护国家转移数据	向第三国云服务传输健康数据
⚙️ 新技术	使用物联网、AI、区块链等处理个人数据	基于AI的儿童行为分析

🧩 高风险识别决策流 (SVG)

🛡️ 三、DPIA 豁免情形

📜 法律直接授权处理活动有明确的法律依据，且已进行过风险评估

🔄 已有类似DPIA同一控制者针对本质上相同的处理活动已完成DPIA

📉 无高风险可能处理活动明显不会对权利与自由产生高风险 (如员工工资单常规处理)

⚖️ 公共利益/官方职权控制者基于法定任务且已包含评估要素

🧾 低规模 & 非敏感仅涉及少量成年数据主体，且不包含特殊类别数据

⚠️ 注意：即使满足豁免条件，DPO仍建议记录豁免理由。若监管机构质疑，可提供书面依据。豁免并非“不处理”，而是“免于正式DPIA报告”。

📎 DPIA触发检查清单 (示例)

// DPIA 前置判断 (伪代码)
function isDPIARequired(processing) {
    if (processing.scale > 100000 || 
        processing.specialCategory === true ||
        processing.monitoringPublic === true ||
        processing.automatedDecisionImpact === 'high' ||
        processing.newTechnology === true) {
        return "必须执行DPIA";
    } else if (processing.exemption === 'legalObligation' || 
               processing.exemption === 'existingDPIA') {
        return "可豁免，但需记录理由";
    } else {
        return "建议进行DPIA或记录低风险分析";
    }
}