个人信息影响评估操作指南（最新版）.docx

个人信息影响评估操作指南（最新版）

本指南依据《中华人民共和国个人信息保护法》《中华人民共和国网络安全法》《中华人民共和国数据安全法》、GB/T35273-2020《信息安全技术个人信息安全规范》、GB/T42430-2023《信息安全技术个人信息处理中告知和同意的实施指南》、国家互联网信息办公室发布的《个人信息保护影响评估规范》制定，适用于所有从事个人信息处理活动的企事业单位、社会组织，覆盖互联网服务、电子商务、医疗健康、教育培训、金融服务、线下实体经营等全行业场景，所有涉及个人信息处理的业务环节必须严格遵照本指南执行。

第一章总则

一、评估适用场景

1.强制开展评估的场景

所有涉及以下类别的个人信息处理活动，必须在功能上线前完成个人信息影响评估，未通过评估的不得上线运行。具体包括：处理敏感个人信息的活动，利用个人信息开展自动化决策、用户画像、个性化推荐的活动，委托第三方机构处理个人信息的活动，向境外提供境内收集的个人信息的活动，向境内第三方共享个人信息的活动，通过网络渠道公开个人信息的活动，批量处理不满14周岁未成年人个人信息的活动，处理个人信息累计规模超过10万人的常态化运行系统。其中处理个人信息规模超过100万人的平台类服务，除上线前评估外还需按固定周期开展复评。

2.按需开展评估的场景

除强制评估场景外，以下场景可按需启动评估：业务功能重大迭代新增个人信息处