三十、 如何开展个人信息保护影响评估？

在跨境传输数据之前，企业需要根据自身业务情况依法评估数据出境的安全风险，并采取相应的安全保障机制，这对于数据跨境传输合法合规至关重要。

出境合规流程的第一步是开展个人信息保护影响评估（下称 PIA），自行组织评估数据出境的安全风险。根据《个人信息保护法》第五十五条的规定，企业作为个人信息处理者，只要存在“向境外提供个人信息”的情况就应当事前进行 PIA，《标准合同办法》第五条也重申了这一要求。同时，《标准合同办法》第七条规定，如果企业以个人信息出境标准合同作为个人信息出境的合规路径，则需要同步提交 PIA 报告。《标准合同备案指南（第二版）》附件 3 进一步要求企业提交的 PIA 报告应当在个人信息出境标准合同备案之日前 3 个月内完成，且至备案之日未发生重大变化。

综合来看，企业应参考《个人信息保护法》第五十六条、GB/T 39335-2020《信息安全技术 个人信息安全影响评估指南》《标准合同办法》以及《标准合同备案指南（第二版）》的相应内容准备 PIA 报告。其中，《标准合同备案指南（第二版）》附件 5《个人信息保护影响评估报告（模板）》明确规定，用于个人信息出境标准合同备案的 PIA 报告应严格按照模板撰写，具体包含以下内容：

1. 出境活动整体情况：

⚫ 个人信息处理者基本情况，包括个人信息处理者基本情况简介、整体业务与处理个人信息情况、拟出境个人信息情况以及遵守个人信息保护相关法律法规的情况；

⚫ 境外接收方情况，包括境外接收方基本情况、境外接收方处理个人信息的用途和方式、境外接收方履行责任义务的管理和技术措施、能力等；

⚫ 个人信息处理者认为需要说明的其他情况。

2. 拟出境活动的影响评估情况及结论：

根据《标准合同办法》第五条规定的以下评估事项，说明个人信息保护影响评估情况，重点说明评估发现的问题和整改情况，并对个人信息出境活动作出客观的影响评估结论，充分说明得出评估结论的理由和论据：

⚫ 个人信息处理者和境外接收方处理个人信息的目的、范围、方式等的合法性、正当性、必要性；

⚫ 出境个人信息的规模、范围、种类、敏感程度，个人信息出境可能对个人信息权益带来的风险；

⚫ 境外接收方承诺承担的义务，以及履行义务的管理和技术措施、能力等能否保障出境个人信息的安全；

⚫ 个人信息出境后遭到篡改、破坏、泄露、丢失、非法利用等的风险，个人信息权益维护的渠道是否通畅等；

⚫ 境外接收方所在国家或者地区的个人信息保护政策和法规对标准合同履行的影响；

⚫ 其他可能影响个人信息出境安全的事项。

来源：环球律师事务所