【简介】 针对敏感个人信息处理、自动化决策、数据对外提供、跨境传输等高风险场景，提供法定强制PIA评估服务，出具合规有效的正式PIA报告与评估记录。
卓建数据合规团队 · 法律服务产品
个人信息保护影响评估（PIA）服务
严格依据《个人信息保护法》及国标 GB/T 39335-2020，针对敏感个人信息处理、自动化决策、数据对外提供、跨境传输等高风险场景，提供法定强制 PIA 评估服务。
服务内容
全维度数据梳理
数据资产盘点
数据流程图绘制
合规差距核查
风险分级研判
安全保护措施评估
落地整改方案输出
出具合规有效的正式 PIA 报告与评估记录，满足监管 3 年留存备查、专项检查、上市尽调合规要求，有效规避高额行政处罚。
一
产品概述
个人信息保护影响评估（Personal Information Protection Impact Assessment，简称 PIA），是依据《中华人民共和国个人信息保护法》（以下简称《个保法》）及国家标准《信息安全技术 个人信息安全影响评估指南》（GB/T 39335-2020）要求，针对高风险个人信息处理活动开展的专项合规评估服务。
服务核心是系统性核查个人信息处理的合法、正当、必要性，识别对个人权益的影响与安全风险，评估现有保护措施的有效性并提出整改方案，帮助企业满足法定合规义务、降低数据安全风险、规避监管处罚，同时保障个人信息主体合法权益。
二
合规要求
法律强制依据
《个保法》第 55 条明确规定，个人信息处理者必须事前开展 PIA 并留存记录的 5 类高风险场景：
1
处理敏感个人信息（生物识别、医疗健康、金融账户、行踪轨迹等）
2
利用个人信息进行自动化决策（用户画像、精准营销、算法推荐等）
3
委托处理、对外提供、公开个人信息
4
向境外提供个人信息（跨境数据传输）
5
其他对个人权益有重大影响的处理活动（如大规模数据收集、未成年人信息处理等）
评估核心内容（《个保法》第 56 条）
法定评估三要素
- 处理目的、方式是否合法、正当、必要
- 对个人权益的影响程度及潜在安全风险（泄露、滥用、篡改等）
- 现有保护措施是否合法、有效，且与风险程度相适应
留存与备查要求
PIA 报告及处理记录至少保存 3 年，监管检查时需随时提供；跨境数据、重大风险场景的评估报告需按规定备案。
国家标准依据
遵循 GB/T 39335-2020《信息安全技术 个人信息安全影响评估指南》，规范评估流程、方法、风险分级及报告编制标准。
三
适用企业类型
强制适用企业（满足任一高风险场景）
- 互联网平台企业：APP、小程序、电商平台、社交平台（处理海量用户信息 / 敏感信息 / 自动化决策）
- 金融机构：银行、保险、证券、支付公司（处理金融账户、征信、生物识别等敏感信息）
- 医疗健康企业：医院、体检机构、医疗 APP、医药平台（处理病历、健康数据等敏感信息）
- 跨境业务企业：外贸、跨国公司、境外上市企业（存在个人信息出境传输）
- 教育机构：K12、高校、职业培训（处理未成年人信息、学籍信息）
- 人力资源 / 猎头公司：处理员工简历、身份信息、薪资等敏感信息
- 房地产 / 出行 / 本地生活平台：处理行踪轨迹、地理位置、身份信息等
建议主动评估企业（降低合规风险）
- 拟开展新业务 / 新产品（涉及个人信息处理）的企业
- 处理个人信息数量较大（如 10 万+ 用户）的企业
- 曾发生数据安全事件或收到监管整改通知的企业
- 计划融资 / 上市 / 并购（需数据合规尽调）的企业
- 重视用户信任、需完善数据治理体系的企业
四
实施流程（6 大阶段，标准闭环）
1
评估准备
1 – 2 天
- 组建专项团队（数据合规专家、律师、技术安全顾问、业务对接人）
- 明确评估范围（业务场景、系统、数据类型、处理流程）
- 收集基础资料（营业执照、业务架构、数据流程图、隐私政策、现有制度）
- 制定评估计划（时间节点、分工、访谈清单、评估方法）
2
数据梳理与映射
2 – 3 天
- 全流程调研：访谈业务、技术、法务、运维部门，梳理数据收集、存储、使用、传输、销毁全链路
- 数据资产盘点：编制个人信息清单（普通信息 / 敏感信息分类）、数据处理活动清单
- 绘制数据地图：明确数据流向、存储位置、访问权限、第三方对接节点
3
风险识别与分析
3 – 4 天
- 合规性核查：对照《个保法》及国标，核查处理目的、告知同意、最小必要、存储期限等合规要点
- 风险源识别：识别数据泄露、滥用、篡改、丢失、合规处罚、声誉受损等风险
- 风险分级：按"高 / 中 / 低"分级，评估风险发生概率、影响范围、危害程度
- 权益影响分析：重点评估对个人知情权、决定权、隐私权等权益的影响
4
保护措施评估与整改建议
2 – 3 天
- 现有措施核查：评估技术措施（加密、脱敏、访问控制、日志审计）、管理措施（制度、培训、应急预案）的有效性
- 合规差距分析：明确现有措施与法定要求的差距
- 定制整改方案：针对高 / 中风险，提出可落地的技术优化、制度完善、流程调整建议（含优先级、实施周期、责任部门）
5
报告编制与评审
1 – 2 天
- 编制《个人信息保护影响评估报告（初稿）》，核心内容：评估概述、数据处理情况、风险识别结果、措施评估、整改建议、风险结论
- 组织企业内部评审（业务、法务、技术负责人），收集反馈并修订
- 出具正式版 PIA 报告及《评估记录》，加盖评估机构公章
6
交付与持续支持
1 天
- 交付正式报告、评估记录、整改方案、数据清单、数据地图等全套文档
- 协助企业完成报告内部审批、归档备查
- 提供 3 个月免费咨询（整改落地指导、监管咨询答疑）
- 年度动态评估提醒（业务变更、法规更新时需重新评估）
五
实施时间（标准周期 10 – 15 个工作日）
| 企业规模 / 复杂度 | 实施周期 | 备注 |
|---|---|---|
| 小微企业（单一业务、数据量 < 10 万、无敏感信息） | 7 – 10 个工作日 | 简化流程，重点核查核心场景 |
| 中型企业（多业务、数据量 10 – 100 万、少量敏感信息） | 10 – 15 个工作日 | 标准全流程，全面梳理数据链路 |
| 大型企业 / 集团（跨区域、多系统、数据量 100 万+、敏感信息多 / 跨境） | 15 – 20 个工作日 | 分模块评估，增加专项评审环节 |
六
交付成果（全套合规文档，可直接备查）
核心交付物
- 《个人信息保护影响评估报告（正式版）》（含风险结论、整改建议）
- 《个人信息保护影响评估记录》（法定留存文件）
- 《个人信息资产清单》（普通信息 + 敏感信息分类）
- 《数据处理活动流程图》+《数据地图》
- 《个人信息合规差距分析报告》
- 《数据安全整改方案（可落地版）》（含优先级、责任分工）
辅助交付物
- 配套制度模板（隐私政策、数据安全管理制度、应急预案、培训记录模板）
- 监管自查清单（覆盖《个保法》核心合规要点）
- 评估过程访谈纪要、评审会议纪要
增值交付
- • 报告解读培训（1 次，线上 / 线下）
- • 3 个月免费合规咨询（整改落地、监管答疑）
- • 年度合规动态提醒（法规更新、业务变更需重评估）
七
服务价值
1
合规免责
满足《个保法》强制要求，避免最高 5000 万元或上一年度营业额 5%的罚款。
2
风险防控
提前识别数据安全风险，避免数据泄露、用户投诉、声誉受损。
3
治理完善
梳理数据资产、规范处理流程，搭建长效数据合规体系。
4
信任提升
向用户、监管、合作伙伴证明合规能力，增强品牌信任。
5
商业赋能
满足融资、上市、并购的数据合规尽调要求，支撑业务拓展。
如需了解 PIA 评估服务方案及报价，欢迎联系我们。
咨询 PIA 评估服务
