第二章：DPIA启动与准备——确定负责人、组建团队、制定时间表、划定数据流范围
好，咱们正式开始DPIA的实操环节。
很多朋友问我：“DPIA最难的是不是后面的风险评估？” 我的回答是——启动阶段没做好，后面全是坑。我见过太多项目，团队拉起来了，时间表排好了，结果发现数据流范围没划清楚，做到一半又得推倒重来。说白了，启动阶段的四个动作，决定了整个DPIA的成败。
2.1 确定DPIA负责人——这个“头儿”不能随便找
DPIA负责人，不是随便拉个法务或者IT就能干的。我个人习惯，这个角色必须满足三个条件：
- 懂业务：知道数据从哪来、到哪去、怎么用
- 有权限：能调动跨部门资源，不是光靠刷脸
- 能担责：出了问题，第一个被问责的就是他
我在一家金融科技公司做过项目，当时他们让一个刚入职的法务专员当DPIA负责人。结果呢？业务部门根本不配合，数据流梳理拖了两个月。后来换成了数据治理部的总监，一周就搞定了。你想想看，负责人没有话语权，DPIA就是一张废纸。
关键点：DPIA负责人通常由DPO（数据保护官）担任，或者由DPO授权给业务线的数据保护负责人。如果公司没有DPO，那就得指定一个高级管理人员来扛这个责任。
我的小技巧：在任命文件里，明确写清楚负责人的权限——比如“有权要求任何部门在5个工作日内提供数据流相关信息”。白纸黑字，省得扯皮。
2.2 组建评估团队——别搞成“法务独角戏”
DPIA不是法务部门自己的事。我见过最离谱的团队，就三个人：法务、法务、还是法务。结果评估报告写得跟法律意见书似的，技术漏洞一个没发现。
一个合格的DPIA团队，应该包含以下角色：
| 角色 | 职责 | 来源部门 |
|---|---|---|
| DPIA负责人 | 统筹全局、决策拍板 | 数据治理/法务/合规 |
| 业务代表 | 描述业务流程、数据用途 | 产品/运营/业务线 |
| 技术专家 | 梳理数据流、评估安全措施 | IT/安全/架构 |
| 法务/合规 | 法律风险判断、合规要求解读 | 法务/合规部 |
| 数据主体代表 | 站在用户角度提意见 | 客服/用户研究/外部顾问 |
嗯，这里要注意——数据主体代表这个角色经常被忽略。我曾经帮一家电商平台做DPIA，他们一开始没加这个角色，结果评估报告里全是“我们认为用户能接受”。后来我建议他们拉了两个真实用户做访谈，才发现用户对“个性化推荐”的隐私顾虑比想象中大得多。
避坑指南：我曾经见过一个团队，技术专家是外包人员，签了保密协议但没签数据处理协议。结果评估过程中，外包人员把数据流图带到了下一家公司。所以——团队里的外部人员，必须签NDA和DPA。
2.3 制定DPIA时间表——别把“马拉松”当“百米冲刺”
DPIA的时间表，取决于数据处理的复杂程度。我一般把DPIA分成四个阶段：
- 启动与准备（1-2周）：确定负责人、组建团队、划定范围
- 数据流梳理（2-4周）：画数据流图、识别风险点
- 风险评估与应对（2-3周）：分析风险、制定整改措施
- 报告与审批（1-2周）：撰写报告、内部审批、归档
你看，一个完整的DPIA，快则6周，慢则11周。但现实中，很多老板要求“两周搞定”。怎么办？我的经验是——别压缩评估时间，而是提前做好准备工作。比如，在正式启动前，先把数据流图草稿画好，把相关文档收集齐。
时间表模板（我常用的）：
第1周：确定负责人、组建团队、召开启动会
第2周：划定数据流范围、收集系统文档
第3-4周：绘制数据流图、识别数据处理活动
第5-6周：风险评估（可能性+严重性）
第7周：制定风险应对措施
第8周：撰写DPIA报告、内部评审
第9周：修改完善、最终审批
第10周：归档、纳入DPIA登记册我的习惯：在时间表里留出20%的缓冲时间。因为——你永远不知道业务部门什么时候会突然说“哦对了，我们还有个系统忘了说”。
2.4 确定数据流范围——画清楚边界，别“什么都往里装”
这是启动阶段最容易被忽视的一步。很多团队一上来就“全面梳理”，结果发现数据流图越画越复杂，最后变成一团乱麻。
我个人习惯，划定数据流范围时，先问三个问题：
- 这个DPIA评估的是哪个业务场景？（比如：用户注册流程、个性化推荐系统、员工考勤系统）
- 涉及哪些系统？（前端APP、后端API、数据库、第三方SDK）
- 边界在哪里？（比如：只评估从用户提交数据到数据存储，不评估数据删除后的归档环节）
举个例子。我之前帮一家医疗公司做DPIA，他们想做“在线问诊”的数据处理评估。一开始，他们想把所有系统都纳入范围——挂号、问诊、开药、支付、随访……结果数据流图画了三天还没画完。后来我建议他们先聚焦“在线问诊”这个核心场景，把其他场景放到后续的DPIA里。你看，范围划得越清晰，评估效率越高。
数据流范围文档应该包含：
- 业务场景描述（一句话说清楚）
- 涉及的系统清单（系统名称、版本、负责人）
- 数据类型清单（个人身份信息、敏感信息、行为数据等）
- 数据流向图（从采集到删除的完整链路）
- 第三方参与方（SaaS服务商、API供应商、数据分析平台等）
避坑指南：我曾经遇到一个项目，团队把数据流范围划得太窄，只包括了“用户主动提交的数据”，结果漏掉了“系统自动生成的日志数据”。后来监管检查时发现，日志里包含了用户的精确位置信息，而这个处理活动根本没做DPIA。所以——范围划定要“宁宽勿窄”，但也要有明确的边界。
2.5 启动会——把所有人拉到同一张桌上
启动阶段最后一步，是开一个启动会。别小看这个会，它决定了后续协作的顺畅程度。
启动会我一般安排三个议程：
- DPIA是什么、为什么做（给业务部门科普，别让他们觉得这是“法务找茬”）
- 每个人的职责和时间节点（明确分工，避免“我以为你做了”）
- 数据流范围的确认（现场过一遍，让大家签字确认）
嗯，这里有个小技巧——启动会上，我会让业务代表现场画一个简单的数据流草图。你猜怎么着？十次有八次，他们画出来的和实际流程不一样。这就是为什么一定要现场确认，别光看文档。
我的经验：启动会结束后，发一份会议纪要，把每个人的承诺写清楚。比如“张三承诺在3月10日前提供用户注册系统的数据字典”。白纸黑字，后续跟进就有依据了。
好了，启动阶段的四个动作讲完了。说白了，就是找对人、组好队、排好期、划清界。这四个动作做好了，后面的风险评估就是水到渠成的事。下一章，咱们聊聊怎么画数据流图——这可是DPIA的“灵魂”所在。