《数据保护影响评估（DPIA）实战演练》
第2章 DPIA触发条件
2、DPIA触发条件：何时必须进行DPIA、高风险处理的判定标准、DPIA的豁免情形
▲ DPIA触发条件决策树：从处理活动到判定结果
一、何时必须进行DPIA —— 强制触发清单
根据GDPR第35条及各国监管机构（如CNIL、ICO、DPC）发布的黑名单/白名单，以下情形必须开展DPIA，不得以任何理由跳过：
💡 实务提示： 即使处理活动不在上述清单中，只要满足“高风险”标准，DPIA仍为强制义务。建议建立DPIA触发清单自查表，每启动新项目时逐项核对。
▲ 强制触发DPIA的五类情形（GDPR Art.35(3) + EDPB指南）
二、高风险处理的判定标准 —— 九要素评估法
EDPB（欧洲数据保护委员会）在《DPIA指南》中明确了9项高风险判定要素。满足2项及以上即构成高风险，必须开展DPIA：
1
评估/打分
对个人特征进行评分、排名、预测
2
自动化决策
产生法律或类似重大影响的自动决策
3
系统性监控
对数据主体进行持续、系统性的观察
4
敏感数据
处理特殊类别或高度个人数据
5
大规模处理
涉及大量数据主体或大量数据
6
数据集匹配
合并不同来源的数据集
7
弱势群体
儿童、老年人、患者、员工等
8
创新技术
使用新技术或新业务流程
9
数据跨境
阻碍数据主体行使权利或维权
📊 判定规则： 以上9项中，满足2项或以上 → 高风险 → 必须DPIA。若仅满足1项，仍需结合具体场景评估，不可直接豁免。
▲ 九要素高风险判定雷达图（红色点为高风险示例）
三、DPIA的豁免情形
并非所有处理活动都需要DPIA。以下情形可豁免DPIA义务，但需在记录中说明理由：
⚠️ 重要警告： 豁免≠免责。即使豁免DPIA，仍需履行数据保护原则（最小化、目的限制等）和记录义务（GDPR Art.30）。监管机构有权要求事后补做DPIA。