企业视角下的个人信息保护影响评估具体实施

个人信息保护影响评估（PIA）是指企业对个人信息的收集、存储、使用、加工、传输、提供、公开、删除等贯穿数据全生命周期活动的检验，判断活动合规程度、保护措施的有效程度以及对个人信息主体合法权益造成损害的风险。个人信息保护影响评估旨在发现、处置和持续监控个人信息处理过程中对个人信息主体合法权益造成不利影响的风险。

从覆盖地区来看，美国、加拿大、欧盟、中国等海内外国家和地区都制定了PIA的相关要求。从时间跨度来看，我国从2020年起发布了个人信息保护相关法律、国标、指南，对个人信息保护影响评估的监管要求不断加强完善。

个人信息保护影响评估（PIA）是指企业对个人信息的收集、存储、使用、加工、传输、提供、公开、删除等贯穿数据全生命周期活动的检验，判断活动合规程度、保护措施的有效程度以及对个人信息主体合法权益造成损害的风险。个人信息保护影响评估旨在发现、处置和持续监控个人信息处理过程中对个人信息主体合法权益造成不利影响的风险。

从覆盖地区来看，美国、加拿大、欧盟、中国等海内外国家和地区都制定了PIA的相关要求。从时间跨度来看，我国从2020年起发布了个人信息保护相关法律、国标、指南，对个人信息保护影响评估的监管要求不断加强完善。

第一步：评估对象分析

首先判断该业务活动是否需要开展PIA工作并判断适用的评估模板，在此基础之上梳理该业务活动涉及的个人信息的基本情况以及映射关系。梳理业务活动下个人信息处理活动，个人信息处理活动主要包括个人信息收集、存储、使用、加工、传输、提供、公开、删除等环节，包括各环节下的数据类型、处理目的以及处理过程涉及的资源和相关方等，形成清晰的个人信息映射表及个人信息生命周期安全管理要求。

第二步：风险源识别

基于以上的个人信息映射分析进行风险源识别。风险源识别是为了分析个人信息处理活动面临哪些威胁源，是否缺乏足够的安全措施，导致存在脆弱性而引发安全事件。决定个人信息安全事件发生的要素很多，就威胁源而言，有内部威胁源，也有外部威胁源，有恶意人员导致的数据被窃取等事件，也有非恶意人员无意中导致的数据泄露等事件；就脆弱性而言，有物理环境影响导致的数据毁损，有技术因素导致的数据泄露、篡改、丢失等事件，也有管理不当引起的滥用等事件。对风险要素进行简化后，可归纳为网络环境和技术措施、个人信息处理流程、参与人员与第三方、业务特点和规模及安全趋势四个方面。

第三步：风险影响分析

风险影响分析工具可通过自动化赋值的方式进行风险计算，得出风险影响指标。分析特定的个人信息处理活动是否会对个人信息主体合法权益产生影响，以及可能产生何种影响，主要包括四个维度：限制个人自主决定权、引发差别性待遇、个人名誉受损或遭受精神压力、人身财产受损。

第四步：风险评估

结合风险影响分析结果，综合考虑安全事件可能性和个人权益影响程度要索，分析得出个人信息处理活动的安全风险等级及整改措施。

第五步：风险处置

安永已针对常见的个人信息安全问题，形成处置建议库供参考。经过整体评估，通常情况下可根据安全风险的等级，对个人信息安全问题采取立即处置、限期处置、权衡影响和成本后处置、接受风险等处置方式。持续跟踪风险处置的落实情况，评估剩余风险，将风险控制在可接受的范围内。