高效率高質(zhì)量完成PIA，為啟動(dòng)個(gè)保合規(guī)審計(jì)做好準(zhǔn)備-個(gè)保合規(guī)審計(jì)“進(jìn)行時(shí)”
發(fā)布時(shí)間：2025-03-25
閱讀次數(shù)： 385 次
本文擬從“PIA實(shí)施過程中常見問題”“PIA與個(gè)保合規(guī)審計(jì)的互相采信”視角，給出以下建議，供業(yè)界參考。
企業(yè)開展PIA過程中，可能面臨的常見疑惑和問題
1、業(yè)務(wù)上線前未開展PIA，事后補(bǔ)充開展可以嗎？
-
-
《個(gè)人信息保護(hù)法》于2021年11月1日正式施行，其中明確提到滿足相關(guān)情形的個(gè)人信息處理者，應(yīng)當(dāng)在事前開展PIA評(píng)估，并保留相關(guān)記錄。事前開展PIA的目的是為了提前規(guī)避風(fēng)險(xiǎn)，做到風(fēng)險(xiǎn)防范。然而，很多企業(yè)其業(yè)務(wù)線較多、業(yè)務(wù)內(nèi)容復(fù)雜，且可能涉及多個(gè)實(shí)體，在個(gè)保法實(shí)施前企業(yè)尚未來得及事前開展PIA也是常見現(xiàn)象，如果事后不再開展PIA工作，則無法識(shí)別是否存在法律法規(guī)規(guī)定情形下采取安全措施和風(fēng)險(xiǎn)不相適應(yīng)的情形，導(dǎo)致個(gè)人權(quán)益遭受侵害。因此，企業(yè)及時(shí)對(duì)現(xiàn)有滿足評(píng)估條件的個(gè)人信息處理活動(dòng)事后開展PIA，只要評(píng)估方法及內(nèi)容滿足相關(guān)規(guī)范要求，則可以識(shí)別可能侵害個(gè)人權(quán)益的情形，并通過采取安全措施降低安全風(fēng)險(xiǎn)，達(dá)到法律法規(guī)相關(guān)要求的既定目的。
2、PIA評(píng)估對(duì)象及范圍如何界定？越精確越好還是越寬泛越好？是否能合并開展？
-
--根據(jù)業(yè)務(wù)特點(diǎn)和評(píng)估能力確定。
-
根據(jù)GB/T 39335《個(gè)人信息安全影響評(píng)估指南》要求，PIA原則上應(yīng)以個(gè)人信息處理活動(dòng)為評(píng)估對(duì)象，即根據(jù)業(yè)務(wù)場(chǎng)景的維度開展。但是企業(yè)如何選定PIA評(píng)估范圍？如何界定業(yè)務(wù)場(chǎng)景？如何把控業(yè)務(wù)場(chǎng)景顆粒度，是不是越精確越好？選定范圍內(nèi)的業(yè)務(wù)場(chǎng)景是否可以整合為一個(gè)場(chǎng)景進(jìn)行評(píng)估？相信很多企業(yè)在開展評(píng)估前都會(huì)有諸如此類的疑問。從評(píng)估必要性來看，個(gè)保法中提到的五類個(gè)人信息處理活動(dòng)情形均需在事前開展個(gè)人信息保護(hù)影響評(píng)估，基于該項(xiàng)要求，企業(yè)在考慮評(píng)估對(duì)象時(shí)，原則上應(yīng)將所有業(yè)務(wù)線全部納入PIA評(píng)估范圍，但是在實(shí)際評(píng)估時(shí)，部分企業(yè)可能存在業(yè)務(wù)線較多、業(yè)務(wù)類型復(fù)雜、組織內(nèi)部職責(zé)架構(gòu)不清晰等客觀因素，因此從執(zhí)行層面無法一次性針對(duì)所有業(yè)務(wù)開展PIA評(píng)估工作，且評(píng)估過程中極有可能出現(xiàn)并行業(yè)務(wù)頻繁變動(dòng)的情況，導(dǎo)致整體評(píng)估工作有效性存在不足。因此，建議企業(yè)根據(jù)自身業(yè)務(wù)特點(diǎn)及合規(guī)能力，優(yōu)先選擇核心業(yè)務(wù)或合規(guī)風(fēng)險(xiǎn)可能較高的業(yè)務(wù)開展評(píng)估，逐步實(shí)現(xiàn)業(yè)務(wù)的全覆蓋。那么企業(yè)在選定優(yōu)先評(píng)估的業(yè)務(wù)線之后，業(yè)務(wù)場(chǎng)景如何選擇和界定也是需要考慮的關(guān)鍵內(nèi)容之一。從業(yè)界常規(guī)做法及實(shí)踐出發(fā)，企業(yè)可以基于業(yè)務(wù)流程界定場(chǎng)景顆粒度，一個(gè)業(yè)務(wù)流程可視作一個(gè)業(yè)務(wù)場(chǎng)景，在此基礎(chǔ)上，形成整體的場(chǎng)景目錄清單并逐個(gè)場(chǎng)景開展評(píng)估。但是企業(yè)需要同步考慮界定業(yè)務(wù)場(chǎng)景的常見關(guān)鍵要素，包括個(gè)人信息種類、處理目的、處理方式、處理范圍、數(shù)據(jù)來源、業(yè)務(wù)功能/板塊等，涉及到相同評(píng)估要素的個(gè)人信息處理活動(dòng)或業(yè)務(wù)流程可以進(jìn)行整合，視作一個(gè)業(yè)務(wù)場(chǎng)景進(jìn)行評(píng)估。但需要注意的事，如果合并業(yè)務(wù)場(chǎng)景開展，對(duì)個(gè)人權(quán)益影響分析和風(fēng)險(xiǎn)源識(shí)別還需考慮周全，涉及不同業(yè)務(wù)場(chǎng)景中個(gè)性的部分需予以強(qiáng)調(diào)，以免產(chǎn)生遺漏。
3、PIA過程中安全措施有效性分析細(xì)粒度如何把握？
-
法律法規(guī)要求事前告知同意的情形下，是否在事前告知并按需取得個(gè)人信息主體的同意、單獨(dú)同意、書面同意；
-
處理目的、方式、個(gè)人信息種類發(fā)生變更時(shí)是否及時(shí)告知，重新獲取同意；
-
是否滿足法律法規(guī)無需取得個(gè)人同意的情形；
-
-
處理不滿十四周歲未成年人個(gè)人信息的，是否制定專門的個(gè)人信息處理規(guī)則；
-
告知方式的恰當(dāng)性及告知內(nèi)容的準(zhǔn)確性、完備性；
-
4、公司業(yè)務(wù)涉及個(gè)人信息跨境，但屬于《促進(jìn)和規(guī)范數(shù)據(jù)跨境流動(dòng)規(guī)定》中的豁免場(chǎng)景，還需要開展PIA嗎？
-
-
個(gè)保法中第55條明確指出向境外提供個(gè)人信息的個(gè)人信息處理者應(yīng)當(dāng)事前進(jìn)行個(gè)人信息保護(hù)影響評(píng)估，并對(duì)處理情況進(jìn)行記錄，這一要求是廣泛適用的。個(gè)人信息處理者遵循《數(shù)據(jù)出境安全評(píng)估辦法》、《個(gè)人信息出境標(biāo)準(zhǔn)合同辦法》、《個(gè)人信息跨境處理活動(dòng)安全認(rèn)證規(guī)范》、《促進(jìn)和規(guī)范數(shù)據(jù)跨境流動(dòng)規(guī)定》等規(guī)定，通過自評(píng)估報(bào)告、標(biāo)準(zhǔn)合同、數(shù)據(jù)出境認(rèn)證這三條個(gè)人信息出境合規(guī)路徑之一完成個(gè)人信息數(shù)據(jù)跨境的強(qiáng)制性合規(guī)義務(wù)的，由于其個(gè)人信息數(shù)據(jù)出境這一領(lǐng)域的合規(guī)要求已經(jīng)過相關(guān)部門認(rèn)可，合規(guī)路徑中已涉及了PIA相關(guān)的內(nèi)容，因此無需重復(fù)開展“向境外提供個(gè)人信息”情形下的PIA。
-
需注意的是，國家網(wǎng)信部門未作出特別規(guī)定的，即不適用于三條個(gè)人信息出境合規(guī)路徑的情況下個(gè)人信息處理者仍需向境外提供個(gè)人信息，在《促進(jìn)和規(guī)范數(shù)據(jù)跨境流動(dòng)規(guī)定》中豁免場(chǎng)景范圍內(nèi)的，仍需開展出境場(chǎng)景PIA，并形成評(píng)估報(bào)告以供開展合規(guī)審計(jì)時(shí)備查。
-
-
5、已經(jīng)開展過PIA，是否不用再重復(fù)開展？
-
-
根據(jù)個(gè)保法及國標(biāo)要求，PIA通常是以業(yè)務(wù)場(chǎng)景的維度來開展。但不同性質(zhì)企業(yè)的業(yè)務(wù)形態(tài)和變化情況可能相差甚遠(yuǎn)，因此，從實(shí)踐層面來看，企業(yè)通常是按照業(yè)務(wù)維度，結(jié)合自身管理需求制定計(jì)劃，逐步開展PIA工作，這是一個(gè)持續(xù)動(dòng)態(tài)的過程，最終實(shí)現(xiàn)業(yè)務(wù)全覆蓋。
-
即使是在理想情況下，企業(yè)能夠一次性針對(duì)全部業(yè)務(wù)場(chǎng)景開展PIA，但在業(yè)務(wù)運(yùn)營過程中，業(yè)務(wù)場(chǎng)景很難一成不變，不斷會(huì)有新業(yè)務(wù)、新功能、新版本上線，而我國合規(guī)體系也在與時(shí)俱進(jìn)。當(dāng)這些業(yè)務(wù)變動(dòng)涉及到個(gè)人信息保護(hù)領(lǐng)域的新合規(guī)要求、引入了新的第三方合作、處理個(gè)人信息數(shù)量出現(xiàn)激增、計(jì)劃開拓海外市場(chǎng)等類似情況，企業(yè)的個(gè)人信息保護(hù)合規(guī)部門應(yīng)判斷是否需要重新開展PIA評(píng)估。
-
國家網(wǎng)信辦、公安部最新發(fā)布的《人臉識(shí)別技術(shù)應(yīng)用安全管理辦法》指出，處理人臉信息的目的、方式發(fā)生變化，或者發(fā)生重大安全事件的，應(yīng)當(dāng)重新進(jìn)行個(gè)人信息保護(hù)影響評(píng)估。
-
根據(jù) GB/T 39335《個(gè)人信息安全影響評(píng)估指南》，PIA的實(shí)施時(shí)機(jī)參考如下：
-
（1）在產(chǎn)品或服務(wù)發(fā)布前
-
（2）業(yè)務(wù)功能發(fā)生重大變化時(shí)
-
（3）發(fā)布新的法律法規(guī)要求時(shí)
-
（4）業(yè)務(wù)模式、信息系統(tǒng)、運(yùn)行環(huán)境發(fā)生重大變更時(shí)
-
（5）產(chǎn)品或服務(wù)的年度整體評(píng)估
-
（6）發(fā)生重大個(gè)人信息安全事件后的重新評(píng)估
-
PIA與個(gè)保合規(guī)審計(jì)工作如何互信
-
PIA作為基礎(chǔ)性的合規(guī)工作，前期準(zhǔn)備的充分性對(duì)于個(gè)保合規(guī)審計(jì)工作的快速落地和審計(jì)效果至關(guān)重要，2025年1月1日施行的《網(wǎng)絡(luò)數(shù)據(jù)安全管理?xiàng)l例》也明確指出，個(gè)人信息保護(hù)合規(guī)審計(jì)、重要數(shù)據(jù)風(fēng)險(xiǎn)評(píng)估、重要數(shù)據(jù)出境安全評(píng)估等應(yīng)當(dāng)加強(qiáng)銜接，避免重復(fù)評(píng)估、審計(jì)。內(nèi)容重合的，相關(guān)結(jié)果可以互相采信。因此規(guī)范、科學(xué)、嚴(yán)謹(jǐn)?shù)亻_展PIA，能夠較高程度上為審計(jì)工作提供采信輸入。
-
1、按國標(biāo)要求開展PIA，其中對(duì)安全措施的分析內(nèi)容對(duì)應(yīng)的是合規(guī)審計(jì)指引的要點(diǎn)
-
參考GB/T 35273《個(gè)人信息安全規(guī)范》，依據(jù)GB/T 39335《個(gè)人信息安全影響評(píng)估指南》的評(píng)估方法，PIA評(píng)估內(nèi)容包括個(gè)保合規(guī)體系與制度建設(shè)情況、個(gè)保負(fù)責(zé)人設(shè)置、個(gè)人權(quán)利的響應(yīng)、數(shù)據(jù)跨境情況、個(gè)人信息保護(hù)社會(huì)責(zé)任報(bào)告等方面，而這些恰恰也是審計(jì)指引中包含的審計(jì)要點(diǎn)，以“處理流程規(guī)范性”維度的分析為例，風(fēng)險(xiǎn)分析主要覆蓋處理敏感個(gè)人信息的合法、正當(dāng)、必要原則；告知同意的實(shí)施；個(gè)人信息主體權(quán)利保障等方面，而這些內(nèi)容同樣也是審計(jì)指引中的審計(jì)要點(diǎn)，甚至PIA的檢查顆粒度更加細(xì)致。
-
從一定程度上說，短時(shí)間內(nèi)上述方面的合規(guī)情況不會(huì)變化太大，因此，在審計(jì)工作開展過程中，僅需要適當(dāng)復(fù)核已經(jīng)形成的PIA報(bào)告即可在審計(jì)報(bào)告中采信，大大降低了審計(jì)工作投入。這也從一定程度上印證了《網(wǎng)絡(luò)數(shù)據(jù)安全管理?xiàng)l例》第52條提出的關(guān)于加強(qiáng)評(píng)估工作的銜接和結(jié)果互信的精神。
-
2、依據(jù)國標(biāo)完成評(píng)估取得“PIA標(biāo)識(shí)”，可以快速證明落實(shí)PIA的要求
-
從《個(gè)人信息保護(hù)合規(guī)審計(jì)管理辦法》審計(jì)要點(diǎn)內(nèi)容來看，除要求企業(yè)在法規(guī)要求的情形下開展事前PIA評(píng)估，企業(yè)是否建立完善的PIA評(píng)估制度也是審計(jì)關(guān)注的內(nèi)容，因此企業(yè)是否建立完備的PIA評(píng)估制度，是否按照制度流程實(shí)現(xiàn)PIA的業(yè)務(wù)全覆蓋，是合規(guī)審計(jì)的重要關(guān)切。目前,“PIA標(biāo)識(shí)”已經(jīng)推出三星級(jí)評(píng)估指南，對(duì)企業(yè)自身PIA制度建設(shè)、PIA人員能力儲(chǔ)備、PIA的覆蓋面和自動(dòng)化程度等進(jìn)行綜合評(píng)估，這將為進(jìn)一步增加審計(jì)采信度提供重要支撐。
-
下一階段，PIA專題工作將開啟與個(gè)保合規(guī)審計(jì)互信新篇章，助力企業(yè)在完成各類型PIA的基礎(chǔ)上加速開展個(gè)保合規(guī)審計(jì)工作，踐行《網(wǎng)絡(luò)數(shù)據(jù)安全管理?xiàng)l例》相關(guān)要求，減輕企業(yè)的合規(guī)審計(jì)準(zhǔn)備負(fù)擔(dān)。
-
官方訂閱號(hào)
官方服務(wù)號(hào)
第59號(hào)
浙公網(wǎng)安備 33010502006954號(hào) 
