一、DPIA概述与法律基础

1.1 什么是DPIA？

DPIA，全称Data Protection Impact Assessment，中文叫数据保护影响评估。说白了，就是一套系统化的风险评估流程。

我个人习惯把它理解成「隐私体检」。你想想看，企业在处理个人数据之前，总得先搞清楚：这个处理活动会不会侵犯用户隐私？风险有多大？怎么控制？

我在项目中遇到过不少企业，一上来就问「DPIA是不是就是填个表？」嗯，这种想法很危险。DPIA不是走过场，而是一套完整的风险管理机制。

1.2 GDPR第35条解读

GDPR第35条，是DPIA的「法律身份证」。它规定了什么情况下必须做DPIA，以及怎么做。

我记得第一次读这条时，感觉像在看天书。后来做多了才发现，其实核心就三点：

• 第35条第1款：当数据处理「很可能」对自然人的权利和自由产生「高风险」时，必须进行DPIA。
• 第35条第3款：明确列出了三种必须做DPIA的场景：
  1. 对个人特征进行系统性和大规模评估（比如信用评分、行为画像）
  2. 大规模处理特殊类别数据（比如健康数据、生物识别数据）
  3. 大规模监控公共区域（比如视频监控、人脸识别）
• 第35条第7款：规定了DPIA必须包含的内容清单。

1.3 DPIA的触发条件

什么时候该启动DPIA？这个问题我几乎每次培训都会被问到。

其实GDPR第35条给出了一个「黑名单」——也就是必须做的场景。但现实情况远比条文复杂。我总结了一套判断标准：

触发条件	典型场景	我的经验
使用新技术	AI模型训练、区块链存证	新技术往往意味着新风险，别等出事再补
大规模处理	用户画像、精准营销	「大规模」没有固定数字，看数据量和影响范围
特殊类别数据	医疗数据、生物识别、政治观点	这类数据一旦泄露，后果很严重
跨境传输	数据从欧盟传到中国	标准合同条款（SCCs）不能替代DPIA
监控行为	员工监控、公共场所人脸识别	这类场景几乎100%要做DPIA

1.4 DPIA与PIA的区别

这个问题经常有人搞混。PIA（Privacy Impact Assessment）是隐私影响评估，DPIA是数据保护影响评估。两者有什么区别？

我直接说结论：DPIA是PIA的「升级版」。

• 法律基础不同：PIA是行业最佳实践，DPIA是GDPR的法定要求。
• 适用范围不同：PIA适用于任何隐私风险场景，DPIA只针对高风险处理活动。
• 输出结果不同：PIA输出的是建议和最佳实践，DPIA输出的是法律合规结论。
• 监管要求不同：DPIA需要与监管机构（DPA）沟通，PIA不需要。

1.5 我的实战建议

做了这么多年DPO，我总结了几条铁律：

1. 别等出事再补：DPIA应该在数据处理活动开始前完成，而不是事后补票。
2. 文档要留痕：监管机构查起来，你拿不出DPIA文档，那就是违规。
3. 动态更新：数据处理活动变了，DPIA也要跟着更新。我见过一家公司，DPIA做了三年没动过，结果被罚了。
4. 别自己闷头做：DPIA需要跨部门协作，法务、安全、业务、产品都得参与。