VIP20

本课程属于：019-网络安全法合规 网络安全工程与攻防实战 · 共 20 门相关课程，组合学习更完整。

查看所属VIP全部课程 →

← 返回所属目录咨询 / 购买

个人信息影响评估

📚 共计 30 章节

定义、法律依据（《个人信息保护法》第55、56条）、核心价值与目标

PIA的适用场景

自动化决策、委托处理、对外提供、敏感个人信息、公开信息等

PIA的基本原则

合法性、正当性、必要性、最小化、公开透明、准确性、安全性、可问责

PIA的组织架构

工作组组建、角色分工：数据保护官、业务负责人、法务、安全工程师、外部专家

PIA的启动时机

产品设计阶段、重大变更前、定期复审、安全事件后、法律法规更新时

PIA流程总览

启动→准备→识别→评估→风险处置→记录→复审，全生命周期闭环管理

第一步：启动PIA

发起申请、确定评估范围、组建评估团队、制定计划与时间表

第二步：数据映射与梳理

绘制数据流图、识别数据资产、标注数据类别（一般/敏感/生物识别等）

映射数据流

第三步：处理活动描述

记录处理目的、方式、数据来源、流向、存储期限、共享方清单

第四步：合法性基础分析

是否符合《个保法》第13条六种合法性基础（同意、合同、法定义务等）

合法性个保法

第五步：识别风险源

保密性、完整性、可用性三维度识别威胁（内部泄露、外部攻击、误用等）

第六步：评估风险等级

使用风险矩阵（可能性×影响程度）对风险进行高、中、低分级

第七步：制定风险处置措施

技术措施（加密、脱敏、访问控制）与管理措施（制度、培训、审计）

处置技术+管理

第八步：残余风险评估

实施处置后重新评估剩余风险是否可接受，不可接受则调整方案

残余风险迭代

第九步：编制PIA报告

报告结构、核心内容（摘要、背景、范围、风险分析、处置建议、结论）

第十步：审批与归档

内部审批流程、报告签署、归档保存（至少3年）、监管备查要求

PIA与DPIA的异同

中国PIA与欧盟GDPR DPIA对比：适用范围、流程、法律效力差异

利益相关方沟通

业务、技术、法务、外部监管机构、数据主体的有效沟通

沟通干系人

PIA中的文档管理

模板设计、版本控制、变更记录、审计追踪、文档保密要求

PIA与隐私设计（PbD）

将PIA融入产品研发流程，实现“默认隐私”与“嵌入设计”

PIA中的第三方管理

对数据受托方、合作方的评估要求，合同条款中的PIA义务约定

第三方合同

PIA中的跨境传输评估

数据出境安全评估与PIA衔接，标准合同条款、认证机制

PIA中的自动化决策评估

算法公平性、透明度、可解释性、拒绝权保障，避免歧视性结果

PIA中的敏感个人信息评估

生物识别、医疗健康、金融账户、未成年人信息等特殊保护要求

PIA中的应急响应联动

PIA结果指导数据安全应急预案，事件发生后的PIA复审机制

PIA工具与自动化

PIA软件平台、问卷系统、风险计算器、报告生成工具，提升效率

工具自动化

PIA案例实战一

电商平台用户画像与个性化推荐场景的PIA全流程演练

PIA案例实战二

医疗App收集健康数据用于科研分析的PIA评估要点

PIA案例实战三

人脸识别门禁系统在办公园区的部署PIA评估

PIA的未来趋势

AI治理、数据要素流通、监管科技（RegTech）对PIA的影响与演进方向