个人信息保护影响评估规程.docxVIP

个人信息保护影响评估规程

一、总则

个人信息处理活动一旦上线就难以回退——影响评估若在设计阶段缺位，后续整改成本通常是设计阶段投入的5~10倍，且部分风险（如已向第三方共享的数据）无法通过事后补救消除。本规程旨在将个人信息保护影响评估（以下简称「PIA」）嵌入产品与业务的全生命周期，确保高风险处理活动在上线前完成识别、评估与缓解，满足《中华人民共和国个人信息保护法》（以下简称《个保法》）第五十五条、第五十六条及《信息安全技术个人信息安全规范》（GB/T35273）对影响评估的强制要求。

1.1适用范围

本规程适用于本公司及控股子公司开展的以下活动：

?所有新建信息系统、App、小程序、SDK中涉及个人信息处理的功能设计；

?已有系统的重大变更：新增个人信息字段、新增处理目的、新增第三方共享、跨境传输方案调整；

?对外合作：数据委托处理、共同处理、数据合作与数据采购；

?涉及敏感个人信息（生物识别、医疗健康、金融账户、行踪轨迹、不满十四周岁未成年人信息等）的全部处理活动；

?采用自动化决策（用户画像、算法推荐、信用评分）且可能对个人权益有重大影响的场景。

1.2术语定义

术语

定义

PII

个人信息，以电子或其他方式记录的与已识别或可识别自然人相关的各种信息

敏感PII

一旦泄露或滥用易导致人格尊严受侵害或人身财产安全受危害的个人信息

PIA

个人信息保护影