2、PIA的适用场景：哪些业务活动必须开展PIA

根据《个人信息保护法》第55条及《个人信息安全规范》等法规要求，并非所有数据处理活动都需要开展PIA，只有在特定高风险场景下才构成强制性义务。以下五大类业务活动是必须开展PIA的“红线场景”。

2.1 自动化决策

定义：利用个人信息对个人行为习惯、兴趣爱好、经济状况等进行自动分析、预测，并据此作出决策的活动。

典型场景	PIA关注要点
算法推荐（短视频、新闻、商品）	是否提供关闭选项？是否导致信息茧房？
信用评分/风控模型	模型是否公平？是否存在歧视性特征？
自动化招聘筛选	是否提供人工复核渠道？

2.2 委托处理

定义：将个人信息处理活动委托给第三方处理（如云服务商、客服外包、数据标注公司）。

• 必须PIA的场景：委托处理涉及大量个人信息、敏感个人信息，或受托方位于境外。
• PIA重点：委托合同是否明确处理目的、期限、方式；受托方安全能力是否达标；是否禁止转委托。
• 典型示例：银行将客户信贷审核数据委托给第三方风控公司处理。

2.3 对外提供（共享、转让、公开披露）

定义：向其他控制者提供个人信息，包括企业间数据共享、并购转让、向公众披露等。

对外提供类型	PIA核心问题
数据共享（如与合作伙伴）	是否告知用户接收方身份？是否取得单独同意？
数据转让（如公司并购）	是否通知用户？是否提供退出机制？
公开披露（如黑名单公示）	是否有法律依据？是否最小化披露？

2.4 敏感个人信息处理

定义：处理生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等敏感个人信息。

2.5 公开信息处理

定义：对已合法公开的个人信息进行再利用（如爬取公开数据、分析公开评论等）。

• 误区：公开信息不等于可以随意处理！《个人信息保护法》第27条规定，对已公开信息进行利用需符合原公开目的，或取得个人同意。
• 必须PIA的场景：大规模收集公开信息用于商业分析、AI训练、用户画像等。
• PIA重点：是否超出原公开目的？是否对个人权益造成重大影响？是否提供拒绝机制？

场景对比总结表

业务场景	法律依据	PIA强制要求	典型风险等级
自动化决策	个保法第24条	✅ 必须	🔴 高
委托处理	个保法第21条	✅ 必须	🟡 中高
对外提供	个保法第23条	✅ 必须	🔴 高
敏感个人信息	个保法第28条	✅ 必须	🔴 极高
公开信息处理	个保法第27条	✅ 必须	🟡 中