一句话回答：处理敏感个人信息、利用个人信息做自动化决策、委托第三方处理或向他人提供、公开个人信息、向境外提供个人信息，以及其他对个人权益有重大影响的活动，都必须事先做个人信息保护影响评估（PIA）；评估报告和处理情况记录至少要保存三年。

一、法律依据：个保法第55条、第56条

《个人信息保护法》第五十五条规定，有下列情形之一的，个人信息处理者应当事前进行个人信息保护影响评估，并对处理情况进行记录：（一）处理敏感个人信息；（二）利用个人信息进行自动化决策；（三）委托处理个人信息、向其他个人信息处理者提供个人信息、公开个人信息；（四）向境外提供个人信息；（五）其他对个人权益有重大影响的个人信息处理活动。

第五十六条规定，影响评估应当包括：处理目的、处理方式是否合法、正当、必要，对个人权益的影响及安全风险，所采取的保护措施是否合法、有效并与风险程度相适应。评估报告和处理情况记录应当至少保存三年。

直白说：人脸、行踪、医疗健康、金融账户这类敏感信息一沾边，或者要搞算法画像、数据出境，动手之前先过一遍评估是法定义务，不是可做可不做的“建议项”。

二、实务中要注意：三个最容易漏的场景

一是员工管理场景：用监控、定位、人脸识别打卡管理员工，属于处理敏感个人信息，不少企业从没做过评估。二是营销场景：用消费记录给用户画像、做个性化推荐，属于自动化决策。三是数据协作场景：APP把个人信息交给SDK、云服务商或关联公司，属于委托处理和向他人提供——光签保密协议不够，该做的评估和记录不能省。

三、没做会怎样

依据《个人信息保护法》第六十六条，违反规定处理个人信息的，先责令改正、警告、没收违法所得；拒不改正的并处一百万元以下罚款。情节严重的，处五千万元以下或者上一年度营业额百分之五以下罚款，还可以责令暂停相关业务或者停业整顿，直至吊销相关业务许可或者营业执照，直接负责的主管人员最高可罚一百万元并被禁止担任企业高管。

四、示意情景

示意情景：某零售企业上线“会员刷脸支付”，收集顾客人脸信息用于会员识别。人脸属于敏感个人信息，按第55条必须事前做影响评估并记录处理情况；如果直接上线，一旦被举报或发生泄露，企业面临的将是一连串行政处罚和民事索赔。

一句话收尾：把“处理前评估、记录留痕三年”做成固定流程，比出事之后再找律师救火省得多。

五、常见问题（FAQ）

问：哪些情况必须事前做个人信息保护影响评估？

答：处理敏感个人信息、利用个人信息进行自动化决策、委托处理个人信息或向其他个人信息处理者提供个人信息、公开个人信息、向境外提供个人信息，以及其他对个人权益有重大影响的个人信息处理活动。

问：影响评估要评估哪些内容？

答：处理目的、处理方式是否合法、正当、必要，对个人权益的影响及安全风险，所采取的保护措施是否合法、有效并与风险程度相适应。

问：影响评估报告要保存几年？

答：评估报告和处理情况记录应当至少保存三年。

问：员工管理场景需要做影响评估吗？

答：需要。用监控、定位、人脸识别打卡管理员工属于处理敏感个人信息，不少企业从没做过评估。

问：把个人信息交给SDK、云服务商，光签保密协议就够了吗？

答：不够。属于委托处理和向他人提供，该做的评估和记录不能省。

相关阅读

王冠律师｜北京浩略律师事务所联合创始人｜咨询电话：17813108512