在活动开始前评估，而不是事后补一份文件
个人信息保护法第五十五条要求在列举的情形下事前进行个人信息保护影响评估，并记录处理情况。第五十六条要求检查目的和方式是否合法、正当、必要，个人权益影响及安全风险是什么，以及措施是否合法、有效且与风险相适应。工作重点是说明真实的拟开展活动及作出判断的理由，而不只是附上一张已经勾选的表。
评分之前，应界定法律主体、服务、涉及的个人、字段、接收方、系统和保存期限。如果这些事实仍在变化，应记录假设及尚待决定的事项；不能用“评估已经完成”掩盖接收方未明确或删除机制尚未验证的问题。
把触发情形与业务事实对应起来
下表概括第五十五条并补充本站提出的初筛问题。一项活动可能同时涉及多种触发情形；人数较少本身不等于法定触发条件消失。后续小型处理者规定可能简化工作方式，具体边界见后文。
| 第五十五条情形 | 需要回答的问题 | 可用证据 |
|---|---|---|
| 处理敏感个人信息 | 哪些字段属于敏感个人信息，为何对目的具有必要性？ | 字段清单、分类理由、侵入性更低的替代方式。 |
| 利用个人信息进行自动化决策 | 系统如何对个人作出决定，个人如何提出异议？ | 决策逻辑、复核流程、公平性测试及告知内容。 |
| 委托处理、向其他处理者提供或公开个人信息 | 接收方的角色、获准目的与实际访问范围是什么？ | 角色分析、协议、访问设置及后续处理关系。 |
| 向境外提供个人信息 | 哪些信息出境或可被境外访问，由谁访问、采用什么措施？ | 出境关系图、接收方能力、权利渠道及独立路径分析。 |
| 其他对个人权益有重大影响的活动 | 活动是否会显著改变个人机会、所受待遇或暴露风险？ | 影响分析、受影响群体、可预见滥用及控制措施。 |
让评估记录经得起追问和复核
可用的评估应把事实、权益风险、应对措施以及措施有效的证据连接起来。应区分证据、供应商的承诺与未来计划。以下结构是本站原创研究辅助材料，不是官方强制表格，也不保证监管机关接受。
| 判断模块 | 记录内容 | 应避免的空泛回答 |
|---|---|---|
| 目的与必要性 | 具体任务、每类必要信息及考虑过的替代方案。 | 只写“业务需要”，不说明字段与任务的关系。 |
| 权益影响与安全风险 | 谁可能受损、如何受损，以及滥用或故障条件。 | 只有风险分值，没有支持分值的场景。 |
| 措施与有效性 | 措施负责人、实施情况、测试结果及剩余局限。 | 罗列加密或同意，却未检查实际实现。 |
| 结论与后续工作 | 有依据的结论、未解决事项、负责决策及重新评估条件。 | 重要事实或措施尚未确定，却直接写“合规”。 |
影响评估与合规审计分别回答什么
第五十四条要求定期开展合规审计，第五十五、五十六条针对特定处理活动的事前评估。2025年审计指引本身就要求检查委托处理、自动化决策等活动是否事前评估。因此，审计可以检查评估及其依据，但事后审计不能替代本来应当在事前完成的评估。
| 维度 | 影响评估 | 合规审计 |
|---|---|---|
| 主要问题 | 这项明确的活动是否正当，风险是否得到适当控制？ | 处理活动及控制措施实际是否符合适用规则？ |
| 时点 | 第五十五条活动开始前；事实重大变化及特别规则要求需重新检查。 | 定期开展，或按有权部门的具体要求开展。 |
| 主要成果 | 有理由和证据支持的评估报告、处理情况记录。 | 基于证据的发现、合规评价及整改跟踪。 |
| 证据复用 | 核对适用性后，可以使用已测试的控制及审计发现。 | 可检查影响评估记录，测试承诺的措施是否实际运行。 |
准确适用2026年简化安排
最终小型处理者规定于2026年9月1日施行。第二条以处理不满10万人个人信息界定境内适用主体，不是员工人数或营业收入标准。第十四条允许使用所附简便影响评估表，并要求至少保存三年。这是方式简化，而不是普遍免除对处理活动的判断。
第八条另行规定有条件的平台覆盖、不重复开展安排：处理者仅通过平台开展活动，符合其他列明条件，而且平台评估实际覆盖该活动。平台外导出或超出平台规则的新用途，不能直接借用这一覆盖范围。第十七条与认证相关的审计减免，也不能被默默扩大为影响评估减免。
示例：招聘供应商增加候选人排序
以下是假设场景，并非客户案例：某雇主拟将申请信息交给会对候选人排序的服务。首先区分雇主的决定与供应商角色，识别自动化决策、委托处理及可能的境外访问。存在多个触发情形，不意味着可以对同一活动形成几份互相矛盾的描述。
记录字段及评分输入、排序的必要性、个人获得复核的方式、访问限制和删除行为。供应商无法解释后续访问，或拟采取的措施尚未落实时，应记录缺口，不能把措施标为有效；出境机制应另行解决，评估本身不产生出境许可。
后续审计可抽样检查已经作出的招聘决定、异议处理记录及删除日志，核对其是否符合评估中的承诺。这使事前评估具有实际用途：既说明预期安排，也为检查实际运行提供依据。
保留必要证据，而非再建一套无边界个人信息库
第五十六条要求评估报告和处理情况记录至少保存三年。应保留有版本的决定、范围、事实依据、测试结果和责任人，但不能将其理解为必须把所有底层客户记录复制到评估材料中。证据集中的个人信息仍需最小化并受到保护。
目的、数据、接收方或措施变化时，应将变化与上次评估事实及适用的特别规则对应。文件名未变，或最近重新签了字，都不能证明旧评估已经覆盖新的活动。
官方来源与修订
- 《个人信息保护法》第五十四至五十六条：定期审计、事前影响评估及记录
- 2025年《个人信息保护合规审计管理办法》第二至十五、十九至二十条及附件指引
- 商务部官方转载2026年小型处理者规定：第二、八、十三至十四、十七、二十一至二十二条
: 将重复概述改为法定触发矩阵、证据结构、评估与审计对照、2026年小型处理者边界及假设招聘排序案例。
示例与工作表为本站原创研究辅助材料，并非官方表格或法律意见。
提交更正