高效率高質量完成PIA，為啟動個保合規審計做好準備-個保合規審計“進行時”
發布時間：2025-03-25
閱讀次數： 832 次
本文擬從“PIA實施過程中常見問題”“PIA與個保合規審計的互相采信”視角，給出以下建議，供業界參考。
-
-
《個人信息保護法》于2021年11月1日正式施行，其中明確提到滿足相關情形的個人信息處理者，應當在事前開展PIA評估，并保留相關記錄。事前開展PIA的目的是為了提前規避風險，做到風險防范。然而，很多企業其業務線較多、業務內容復雜，且可能涉及多個實體，在個保法實施前企業尚未來得及事前開展PIA也是常見現象，如果事后不再開展PIA工作，則無法識別是否存在法律法規規定情形下采取安全措施和風險不相適應的情形，導致個人權益遭受侵害。因此，企業及時對現有滿足評估條件的個人信息處理活動事后開展PIA，只要評估方法及內容滿足相關規范要求，則可以識別可能侵害個人權益的情形，并通過采取安全措施降低安全風險，達到法律法規相關要求的既定目的。
2、PIA評估對象及范圍如何界定？越精確越好還是越寬泛越好？是否能合并開展？
-
-
根據GB/T 39335《個人信息安全影響評估指南》要求，PIA原則上應以個人信息處理活動為評估對象，即根據業務場景的維度開展。但是企業如何選定PIA評估范圍？如何界定業務場景？如何把控業務場景顆粒度，是不是越精確越好？選定范圍內的業務場景是否可以整合為一個場景進行評估？相信很多企業在開展評估前都會有諸如此類的疑問。從評估必要性來看，個保法中提到的五類個人信息處理活動情形均需在事前開展個人信息保護影響評估，基于該項要求，企業在考慮評估對象時，原則上應將所有業務線全部納入PIA評估范圍，但是在實際評估時，部分企業可能存在業務線較多、業務類型復雜、組織內部職責架構不清晰等客觀因素，因此從執行層面無法一次性針對所有業務開展PIA評估工作，且評估過程中極有可能出現并行業務頻繁變動的情況，導致整體評估工作有效性存在不足。因此，建議企業根據自身業務特點及合規能力，優先選擇核心業務或合規風險可能較高的業務開展評估，逐步實現業務的全覆蓋。那么企業在選定優先評估的業務線之后，業務場景如何選擇和界定也是需要考慮的關鍵內容之一。從業界常規做法及實踐出發，企業可以基于業務流程界定場景顆粒度，一個業務流程可視作一個業務場景，在此基礎上，形成整體的場景目錄清單并逐個場景開展評估。但是企業需要同步考慮界定業務場景的常見關鍵要素，包括個人信息種類、處理目的、處理方式、處理范圍、數據來源、業務功能/板塊等，涉及到相同評估要素的個人信息處理活動或業務流程可以進行整合，視作一個業務場景進行評估。但需要注意的事，如果合并業務場景開展，對個人權益影響分析和風險源識別還需考慮周全，涉及不同業務場景中個性的部分需予以強調，以免產生遺漏。
3、PIA過程中安全措施有效性分析細粒度如何把握？
-
--細粒度應至少與法律法規基礎要求相當。
-
根據GB/T 39335《個人信息安全影響評估指南》，PIA中安全控制措施有效性的評估通常包括網絡環境和技術措施、處理流程規范性、參與人員與第三方、業務特點和規模及安全態勢四種維度。其中，網絡環境和技術措施維度的分析通常涵蓋系統、平臺整體安全、傳輸與存儲、網絡邊界防護、身份鑒別與訪問控制、審計、風險監測與事件處置等方面；處理流程規范性維度的分析通常涵蓋合法、正當、必要原則、告知同意的實施、個人信息主體權利保障等方面；參與人員與第三方維度的分析通常涵蓋組織架構及負責人、管理體系與制度規程、人員安全管理等方面；業務特點和規模及安全態勢的分析通常涵蓋業務特點和規模、安全態勢等方面。以上評估控制要求基本覆蓋了引發合規風險常見的情形，當然企業可以根據安全動態更新補充評估內容，形成風險的持續跟進和閉環。
-
以處理流程規范性維度中“告知同意”這一檢查要點舉例， PIA過程中對于“告知同意的實施”的分析通常包括以下要點及內容：
-
法律法規要求事前告知同意的情形下，是否在事前告知并按需取得個人信息主體的同意、單獨同意、書面同意；
-
處理目的、方式、個人信息種類發生變更時是否及時告知，重新獲取同意；
-
-
-
處理不滿十四周歲未成年人個人信息的，是否制定專門的個人信息處理規則；
-
-
4、公司業務涉及個人信息跨境，但屬于《促進和規范數據跨境流動規定》中的豁免場景，還需要開展PIA嗎？
-
-
個保法中第55條明確指出向境外提供個人信息的個人信息處理者應當事前進行個人信息保護影響評估，并對處理情況進行記錄，這一要求是廣泛適用的。個人信息處理者遵循《數據出境安全評估辦法》、《個人信息出境標準合同辦法》、《個人信息跨境處理活動安全認證規范》、《促進和規范數據跨境流動規定》等規定，通過自評估報告、標準合同、數據出境認證這三條個人信息出境合規路徑之一完成個人信息數據跨境的強制性合規義務的，由于其個人信息數據出境這一領域的合規要求已經過相關部門認可，合規路徑中已涉及了PIA相關的內容，因此無需重復開展“向境外提供個人信息”情形下的PIA。
-
需注意的是，國家網信部門未作出特別規定的，即不適用于三條個人信息出境合規路徑的情況下個人信息處理者仍需向境外提供個人信息，在《促進和規范數據跨境流動規定》中豁免場景范圍內的，仍需開展出境場景PIA，并形成評估報告以供開展合規審計時備查。
-
-
-
-
根據個保法及國標要求，PIA通常是以業務場景的維度來開展。但不同性質企業的業務形態和變化情況可能相差甚遠，因此，從實踐層面來看，企業通常是按照業務維度，結合自身管理需求制定計劃，逐步開展PIA工作，這是一個持續動態的過程，最終實現業務全覆蓋。
-
即使是在理想情況下，企業能夠一次性針對全部業務場景開展PIA，但在業務運營過程中，業務場景很難一成不變，不斷會有新業務、新功能、新版本上線，而我國合規體系也在與時俱進。當這些業務變動涉及到個人信息保護領域的新合規要求、引入了新的第三方合作、處理個人信息數量出現激增、計劃開拓海外市場等類似情況，企業的個人信息保護合規部門應判斷是否需要重新開展PIA評估。
-
國家網信辦、公安部最新發布的《人臉識別技術應用安全管理辦法》指出，處理人臉信息的目的、方式發生變化，或者發生重大安全事件的，應當重新進行個人信息保護影響評估。
-
根據 GB/T 39335《個人信息安全影響評估指南》，PIA的實施時機參考如下：
-
PIA作為基礎性的合規工作，前期準備的充分性對于個保合規審計工作的快速落地和審計效果至關重要，2025年1月1日施行的《網絡數據安全管理條例》也明確指出，個人信息保護合規審計、重要數據風險評估、重要數據出境安全評估等應當加強銜接，避免重復評估、審計。內容重合的，相關結果可以互相采信。因此規范、科學、嚴謹地開展PIA，能夠較高程度上為審計工作提供采信輸入。
-
1、按國標要求開展PIA，其中對安全措施的分析內容對應的是合規審計指引的要點
-
參考GB/T 35273《個人信息安全規范》，依據GB/T 39335《個人信息安全影響評估指南》的評估方法，PIA評估內容包括個保合規體系與制度建設情況、個保負責人設置、個人權利的響應、數據跨境情況、個人信息保護社會責任報告等方面，而這些恰恰也是審計指引中包含的審計要點，以“處理流程規范性”維度的分析為例，風險分析主要覆蓋處理敏感個人信息的合法、正當、必要原則；告知同意的實施；個人信息主體權利保障等方面，而這些內容同樣也是審計指引中的審計要點，甚至PIA的檢查顆粒度更加細致。
-
從一定程度上說，短時間內上述方面的合規情況不會變化太大，因此，在審計工作開展過程中，僅需要適當復核已經形成的PIA報告即可在審計報告中采信，大大降低了審計工作投入。這也從一定程度上印證了《網絡數據安全管理條例》第52條提出的關于加強評估工作的銜接和結果互信的精神。
-
2、依據國標完成評估取得“PIA標識”，可以快速證明落實PIA的要求
-
從《個人信息保護合規審計管理辦法》審計要點內容來看，除要求企業在法規要求的情形下開展事前PIA評估，企業是否建立完善的PIA評估制度也是審計關注的內容，因此企業是否建立完備的PIA評估制度，是否按照制度流程實現PIA的業務全覆蓋，是合規審計的重要關切。目前,“PIA標識”已經推出三星級評估指南，對企業自身PIA制度建設、PIA人員能力儲備、PIA的覆蓋面和自動化程度等進行綜合評估，這將為進一步增加審計采信度提供重要支撐。
-
下一階段，PIA專題工作將開啟與個保合規審計互信新篇章，助力企業在完成各類型PIA的基礎上加速開展個保合規審計工作，踐行《網絡數據安全管理條例》相關要求，減輕企業的合規審計準備負擔。
-
浙公網安備 33010502006954號 
