数据安全合规，个人信息影响评估(PIA)什么时候必须做

很多企业知道个保法，但说不清什么情况下非做个人信息影响评估不可。等监管来查才补，往往已经晚了，因为评估要求事前做、还要留档三年，事后补出来的材料说服力有限。

这几类处理必须评估

个人信息保护法第五十五条规定，处理敏感个人信息、利用个人信息进行自动化决策、委托处理或向他人提供、公开个人信息等情形，应当事前进行个人信息保护影响评估。评估要记录处理目的、影响和个人权益风险，并至少保存三年。也就是说，只要碰到这几类场景，评估是硬动作，不是可选项。

敏感个人信息是重点

生物识别、宗教、医疗健康、金融账户、行踪轨迹等属于敏感个人信息，一旦泄露危害大。这类数据处理不仅要评估，还要取得单独同意。企业做人脸识别门禁、健康打卡这类功能，先把法律依据和告知同意做全，再上线，别等功能跑起来被员工投诉才回头补。

外包和共享别漏掉

把客户数据交给技术供应商处理，按个保法属于委托处理，同样要评估并签委托协议，约定对方只能按约定目的处理、不能另作他用。数据安全法也要求建立数据分类分级保护，重要数据要重点管。评估不是一次性动作，业务变了就要重做，比如新增一类对外共享接口，就要补一轮评估。

合规动作前置，比事后整改省钱。天蓬数字科技在交付软件时内置数据分级、权限留痕和委托处理监督能力，从系统层面满足评估与审计要求，让企业应对检查不抓瞎。

整改要有人跟

评估做完不是终点，落到整改才有用。谁负责、何时完成、怎么验证，写进台账盯着闭环。不少企业的 PIA 停在文档里，风险写出了却没人改，监管来查看的是整改动作而不是报告本身。建议评估结论直接转任务单，到期复查，没闭环的标红上报。

还有对外共享场景：和合作伙伴交换数据，要签数据共享协议，写清用途、期限、销毁方式。很多泄露不是黑客，是合作方手里没管好。企业可要求对方提供安全能力证明，重要数据脱敏后再给。数据安全法对重要数据有重点保护要求，跨境传输另有审批，这类业务提前问法务，别先传了再说。