各位合规、法务🙌🏼、网安的同行们👩🏿‍🍳💃🏼，大家好。

做PIA（个人信息保护影响评估）这件事🍐，很多人觉得头疼。明明花了大量时间💇，写了几十页报告，结果要么被监管打回来⏳，要么被领导质疑“没用”🐤。

问题出在哪👨🏼‍🎤？根据我过去5年服务300多家企业的经验，核心在于流程不对，方法不对👱🏼。一份能被监管100%认可的PIA报告🏨，绝不是“填空”，而是“造房子”。地基不稳，楼盖得再高也得塌。

今天，我就把这套经过实战检验的“PIA八步法”毫无保留地分享给你，保证每一步都看得见、摸得着。

第一步🤷：前期准备——搭好骨架

别急着动笔。先成立一个跨部门小组🪃🐆，组长必须是PIPCA持证人员。然后明确评估范围，比如“评估APP会员系统的人脸登录功能”，而不是“评估新宝gg所有个人信息”🪙。最后收集好业务流程图、隐私政策等基础资料。

第二步👨🏽‍🦳：数据资产梳理——摸清家底

这是PIA的地基。你需要绘制一张“数据地图”，沿着用户的使用路径，把数据的收集、存储、使用、删除等每一个环节都拆解出来🥴。比如，人脸登录功能，流程就是：拍摄→加密传输→存储特征值→比对→删除。同时🫰🏽，要制作一份精确到字段级的《个人信息清单》，特别是敏感信息👑，必须单独标注。

第三步👩🏻：合规性核查——自我体检

拿着法律法规这个“尺子”🩶，去量一量你的业务。从处理目的的合法性👮🏻、告知同意的有效性👼，到最小必要性、用户权利的保障，一共7个维度🏇🏽，逐项排查🫰🏻👨🏽‍🎓。每一项都要写清楚现状、判定结果和存在的问题🐗。

第四步💾：风险识别——深挖病灶

这一步是PIA的灵魂。不要只找三五个风险点糊弄人♍️，至少要找出8个以上🧛。从合规风险、安全技术风险🙌、个人权益风险三个层面去挖掘👨‍💻。例如👆🏼👩🏽‍⚕️：“用户人脸特征值仅采用普通加密🧑🏿‍🌾💋，未采用国密算法，一旦数据库被攻破，可能导致120万用户的生物识别信息泄露。”

第五步：风险分析与评价——科学定级

顶级不能拍脑袋。要用“风险矩阵法”👃🏽：给每个风险的可能性（1-5分）和影响程度（1-5分）打分🐮，两者相乘得出风险值。比如，上述人脸泄露风险，可能性3分，影响程度5分🏄🏿‍♀️，风险值15分，即为“高风险”😅。

第六步：风险处置与整改——对症下药

找出问题不解决♥︎⛲️，等于白做。针对每个风险点🫂，给出具体的🪕、可落地的整改措施🤾🏼‍♂️✬。比如，“2026年9月30日前，完成人脸特征值存储的国密SM4算法改造😭，由技术部李工负责。” 整改后，还要评估残余风险等级。

第七步：报告撰写——整合输出

将所有工作成果整理成一份结构完整的PIA报告。一份合格的报告应包含评估概述8️⃣、业务说明、合规核查、风险识别📛、风险评估🤿、整改措施、评估结论🤾🏻💆🏿‍♀️、签字页和附件等10个部分。

个人信息安全无小事⛺️，专业防护更安心

CCRC-PIPP个人信息保护专业人员

CCRC-PIPCA个人信息保护合规审计人员

CCRC-PIPA个人信息保护评估师认证

青蓝智慧马老师：135-2173-0416

丁老师：135-2209-4648

马老师：133-9150-9126

第八步：评审签字——闭环管理

报告完成后，需经过内部评审👈🏼，最后由PIPCA持证人员签字确认并加盖公章。所有过程文档（会议纪要、原始数据等）必须归档保存至少3年🙍‍♂️。