高效率高質(zhì)量完成PIA，為啟動個保合規(guī)審計做好準備-個保合規(guī)審計“進行時”
發(fā)布時間：2025-03-25
閱讀次數(shù)： 813 次
本文擬從“PIA實施過程中常見問題”“PIA與個保合規(guī)審計的互相采信”視角，給出以下建議，供業(yè)界參考。
企業(yè)開展PIA過程中，可能面臨的常見疑惑和問題
1、業(yè)務上線前未開展PIA，事后補充開展可以嗎？
-
-
《個人信息保護法》于2021年11月1日正式施行，其中明確提到滿足相關(guān)情形的個人信息處理者，應當在事前開展PIA評估，并保留相關(guān)記錄。事前開展PIA的目的是為了提前規(guī)避風險，做到風險防范。然而，很多企業(yè)其業(yè)務線較多、業(yè)務內(nèi)容復雜，且可能涉及多個實體，在個保法實施前企業(yè)尚未來得及事前開展PIA也是常見現(xiàn)象，如果事后不再開展PIA工作，則無法識別是否存在法律法規(guī)規(guī)定情形下采取安全措施和風險不相適應的情形，導致個人權(quán)益遭受侵害。因此，企業(yè)及時對現(xiàn)有滿足評估條件的個人信息處理活動事后開展PIA，只要評估方法及內(nèi)容滿足相關(guān)規(guī)范要求，則可以識別可能侵害個人權(quán)益的情形，并通過采取安全措施降低安全風險，達到法律法規(guī)相關(guān)要求的既定目的。
2、PIA評估對象及范圍如何界定？越精確越好還是越寬泛越好？是否能合并開展？
-
-
根據(jù)GB/T 39335《個人信息安全影響評估指南》要求，PIA原則上應以個人信息處理活動為評估對象，即根據(jù)業(yè)務場景的維度開展。但是企業(yè)如何選定PIA評估范圍？如何界定業(yè)務場景？如何把控業(yè)務場景顆粒度，是不是越精確越好？選定范圍內(nèi)的業(yè)務場景是否可以整合為一個場景進行評估？相信很多企業(yè)在開展評估前都會有諸如此類的疑問。從評估必要性來看，個保法中提到的五類個人信息處理活動情形均需在事前開展個人信息保護影響評估，基于該項要求，企業(yè)在考慮評估對象時，原則上應將所有業(yè)務線全部納入PIA評估范圍，但是在實際評估時，部分企業(yè)可能存在業(yè)務線較多、業(yè)務類型復雜、組織內(nèi)部職責架構(gòu)不清晰等客觀因素，因此從執(zhí)行層面無法一次性針對所有業(yè)務開展PIA評估工作，且評估過程中極有可能出現(xiàn)并行業(yè)務頻繁變動的情況，導致整體評估工作有效性存在不足。因此，建議企業(yè)根據(jù)自身業(yè)務特點及合規(guī)能力，優(yōu)先選擇核心業(yè)務或合規(guī)風險可能較高的業(yè)務開展評估，逐步實現(xiàn)業(yè)務的全覆蓋。那么企業(yè)在選定優(yōu)先評估的業(yè)務線之后，業(yè)務場景如何選擇和界定也是需要考慮的關(guān)鍵內(nèi)容之一。從業(yè)界常規(guī)做法及實踐出發(fā)，企業(yè)可以基于業(yè)務流程界定場景顆粒度，一個業(yè)務流程可視作一個業(yè)務場景，在此基礎(chǔ)上，形成整體的場景目錄清單并逐個場景開展評估。但是企業(yè)需要同步考慮界定業(yè)務場景的常見關(guān)鍵要素，包括個人信息種類、處理目的、處理方式、處理范圍、數(shù)據(jù)來源、業(yè)務功能/板塊等，涉及到相同評估要素的個人信息處理活動或業(yè)務流程可以進行整合，視作一個業(yè)務場景進行評估。但需要注意的事，如果合并業(yè)務場景開展，對個人權(quán)益影響分析和風險源識別還需考慮周全，涉及不同業(yè)務場景中個性的部分需予以強調(diào)，以免產(chǎn)生遺漏。
3、PIA過程中安全措施有效性分析細粒度如何把握？
-
法律法規(guī)要求事前告知同意的情形下，是否在事前告知并按需取得個人信息主體的同意、單獨同意、書面同意；
-
處理目的、方式、個人信息種類發(fā)生變更時是否及時告知，重新獲取同意；
-
是否滿足法律法規(guī)無需取得個人同意的情形；
-
-
處理不滿十四周歲未成年人個人信息的，是否制定專門的個人信息處理規(guī)則；
-
告知方式的恰當性及告知內(nèi)容的準確性、完備性；
-
4、公司業(yè)務涉及個人信息跨境，但屬于《促進和規(guī)范數(shù)據(jù)跨境流動規(guī)定》中的豁免場景，還需要開展PIA嗎？
-
-
個保法中第55條明確指出向境外提供個人信息的個人信息處理者應當事前進行個人信息保護影響評估，并對處理情況進行記錄，這一要求是廣泛適用的。個人信息處理者遵循《數(shù)據(jù)出境安全評估辦法》、《個人信息出境標準合同辦法》、《個人信息跨境處理活動安全認證規(guī)范》、《促進和規(guī)范數(shù)據(jù)跨境流動規(guī)定》等規(guī)定，通過自評估報告、標準合同、數(shù)據(jù)出境認證這三條個人信息出境合規(guī)路徑之一完成個人信息數(shù)據(jù)跨境的強制性合規(guī)義務的，由于其個人信息數(shù)據(jù)出境這一領(lǐng)域的合規(guī)要求已經(jīng)過相關(guān)部門認可，合規(guī)路徑中已涉及了PIA相關(guān)的內(nèi)容，因此無需重復開展“向境外提供個人信息”情形下的PIA。
-
需注意的是，國家網(wǎng)信部門未作出特別規(guī)定的，即不適用于三條個人信息出境合規(guī)路徑的情況下個人信息處理者仍需向境外提供個人信息，在《促進和規(guī)范數(shù)據(jù)跨境流動規(guī)定》中豁免場景范圍內(nèi)的，仍需開展出境場景PIA，并形成評估報告以供開展合規(guī)審計時備查。
-
-
5、已經(jīng)開展過PIA，是否不用再重復開展？
-
-
根據(jù)個保法及國標要求，PIA通常是以業(yè)務場景的維度來開展。但不同性質(zhì)企業(yè)的業(yè)務形態(tài)和變化情況可能相差甚遠，因此，從實踐層面來看，企業(yè)通常是按照業(yè)務維度，結(jié)合自身管理需求制定計劃，逐步開展PIA工作，這是一個持續(xù)動態(tài)的過程，最終實現(xiàn)業(yè)務全覆蓋。
-
即使是在理想情況下，企業(yè)能夠一次性針對全部業(yè)務場景開展PIA，但在業(yè)務運營過程中，業(yè)務場景很難一成不變，不斷會有新業(yè)務、新功能、新版本上線，而我國合規(guī)體系也在與時俱進。當這些業(yè)務變動涉及到個人信息保護領(lǐng)域的新合規(guī)要求、引入了新的第三方合作、處理個人信息數(shù)量出現(xiàn)激增、計劃開拓海外市場等類似情況，企業(yè)的個人信息保護合規(guī)部門應判斷是否需要重新開展PIA評估。
-
國家網(wǎng)信辦、公安部最新發(fā)布的《人臉識別技術(shù)應用安全管理辦法》指出，處理人臉信息的目的、方式發(fā)生變化，或者發(fā)生重大安全事件的，應當重新進行個人信息保護影響評估。
-
根據(jù) GB/T 39335《個人信息安全影響評估指南》，PIA的實施時機參考如下：
-
-
-
-
（4）業(yè)務模式、信息系統(tǒng)、運行環(huán)境發(fā)生重大變更時
-
-
（6）發(fā)生重大個人信息安全事件后的重新評估
-
-
PIA作為基礎(chǔ)性的合規(guī)工作，前期準備的充分性對于個保合規(guī)審計工作的快速落地和審計效果至關(guān)重要，2025年1月1日施行的《網(wǎng)絡數(shù)據(jù)安全管理條例》也明確指出，個人信息保護合規(guī)審計、重要數(shù)據(jù)風險評估、重要數(shù)據(jù)出境安全評估等應當加強銜接，避免重復評估、審計。內(nèi)容重合的，相關(guān)結(jié)果可以互相采信。因此規(guī)范、科學、嚴謹?shù)亻_展PIA，能夠較高程度上為審計工作提供采信輸入。
-
1、按國標要求開展PIA，其中對安全措施的分析內(nèi)容對應的是合規(guī)審計指引的要點
-
參考GB/T 35273《個人信息安全規(guī)范》，依據(jù)GB/T 39335《個人信息安全影響評估指南》的評估方法，PIA評估內(nèi)容包括個保合規(guī)體系與制度建設情況、個保負責人設置、個人權(quán)利的響應、數(shù)據(jù)跨境情況、個人信息保護社會責任報告等方面，而這些恰恰也是審計指引中包含的審計要點，以“處理流程規(guī)范性”維度的分析為例，風險分析主要覆蓋處理敏感個人信息的合法、正當、必要原則；告知同意的實施；個人信息主體權(quán)利保障等方面，而這些內(nèi)容同樣也是審計指引中的審計要點，甚至PIA的檢查顆粒度更加細致。
-
從一定程度上說，短時間內(nèi)上述方面的合規(guī)情況不會變化太大，因此，在審計工作開展過程中，僅需要適當復核已經(jīng)形成的PIA報告即可在審計報告中采信，大大降低了審計工作投入。這也從一定程度上印證了《網(wǎng)絡數(shù)據(jù)安全管理條例》第52條提出的關(guān)于加強評估工作的銜接和結(jié)果互信的精神。
-
2、依據(jù)國標完成評估取得“PIA標識”，可以快速證明落實PIA的要求
-
從《個人信息保護合規(guī)審計管理辦法》審計要點內(nèi)容來看，除要求企業(yè)在法規(guī)要求的情形下開展事前PIA評估，企業(yè)是否建立完善的PIA評估制度也是審計關(guān)注的內(nèi)容，因此企業(yè)是否建立完備的PIA評估制度，是否按照制度流程實現(xiàn)PIA的業(yè)務全覆蓋，是合規(guī)審計的重要關(guān)切。目前,“PIA標識”已經(jīng)推出三星級評估指南，對企業(yè)自身PIA制度建設、PIA人員能力儲備、PIA的覆蓋面和自動化程度等進行綜合評估，這將為進一步增加審計采信度提供重要支撐。
-
下一階段，PIA專題工作將開啟與個保合規(guī)審計互信新篇章，助力企業(yè)在完成各類型PIA的基礎(chǔ)上加速開展個保合規(guī)審計工作，踐行《網(wǎng)絡數(shù)據(jù)安全管理條例》相關(guān)要求，減輕企業(yè)的合規(guī)審計準備負擔。
-
官方訂閱號
官方服務號
第59號
浙公網(wǎng)安備 33010502006954號 
