2、DPIA触发条件：何时必须进行DPIA、高风险处理活动的识别标准、DPIA豁免情形

根据《通用数据保护条例》（GDPR）第35条及我国《个人信息保护法》第55条、第56条，数据保护影响评估（DPIA）并非所有处理活动都需要进行，但以下三种情形属于强制性触发条件：

触发条件类别	具体描述	典型场景举例
1. 系统性大规模监控	对可公开访问的区域进行大规模、系统性的监控（如视频监控、行为追踪）	商场安装人脸识别摄像头、城市智慧交通监控系统
2. 特殊类别数据大规模处理	大规模处理敏感数据（如健康、基因、生物识别、政治观点、宗教、性取向等）或刑事定罪数据	医院电子病历系统、基因检测公司数据库、员工心理健康筛查平台
3. 自动化决策与画像	对个人产生法律效力或类似重大影响的自动化决策（包括画像）	AI信贷审批系统、招聘自动筛选算法、个性化保费定价模型

💡 合规提示： 即使不属于上述三类，若处理活动涉及新技术应用（如区块链、联邦学习、差分隐私）或数据跨境传输，也建议主动开展DPIA，以降低合规风险。

欧盟第29条工作组（WP29）发布了DPIA高风险识别九项标准，满足其中2项及以上即通常认定为高风险，必须开展DPIA。以下是详细标准及评估示例：

序号	高风险标准	详细说明	评估示例
1	评估/打分（包括画像）	对个人工作表现、经济状况、健康、偏好等进行分析预测	银行信用评分模型、员工绩效AI评估系统
2	自动化决策产生法律或类似重大影响	决策结果直接影响个人权利、合同、就业、信贷等	AI招聘淘汰候选人、自动化保险拒保
3	系统性监控	对数据主体进行持续、系统性的观察、追踪或分析	员工电脑行为监控、APP位置轨迹记录
4	敏感数据或高度个人数据	处理特殊类别数据、刑事定罪数据、儿童数据、金融数据等	基因检测数据库、儿童在线教育平台
5	大规模处理	涉及大量数据主体或大量数据量（通常>10万条记录）	全国性CRM系统、亿级用户社交平台
6	数据集匹配或合并	将不同来源、不同目的的数据集进行交叉匹配	政府数据与商业数据融合分析
7	弱势群体数据	处理儿童、老年人、患者、囚犯、员工等弱势群体数据	学校学生信息系统、养老院健康监测
8	创新技术或新应用	使用物联网、AI、区块链、生物识别、差分隐私等新技术	人脸识别门禁、基于区块链的医疗记录
9	数据跨境传输	将数据传输至未获得充分性认定的第三国或国际组织	使用美国云服务商存储中国用户数据

🔍 实战判断技巧： 使用“2/9原则”——若处理活动满足上述9项标准中的任意2项，则推定属于高风险，必须启动DPIA流程。若仅满足1项，仍需结合具体场景评估，不可直接豁免。

并非所有处理活动都需要DPIA，以下四种情形可以豁免DPIA义务，但需注意举证责任在数据控制方：

📋 合规备忘： 即使符合豁免条件，也建议书面记录豁免理由（如填写《DPIA豁免声明表》），并保留在合规档案中，以备监管机构检查。豁免≠免责，数据控制方仍需承担一般性数据保护义务。

🎯 课程核心要点： DPIA触发条件的判断应遵循“风险导向”原则，而非“一刀切”。建议企业建立DPIA触发条件自查清单，在每次启动新处理活动前进行快速筛查，确保合规无遗漏。

专注课程资料整理