comparing-pia-methodologies

比较 PIA 方法论

概述

开展隐私影响评估有多种成熟的方法论：CNIL PIA 工具、ICO DPIA 模板、NIST Privacy Framework 和 ISO/IEC 29134:2017。每种方法论都体现了其源自的监管背景、组织假设和隐私理念。选择合适的方法论，或结合多种方法论的要素，对于形成满足监管预期、符合组织成熟度并解决处理活动实际风险的评估至关重要。本技能提供了一个结构化的比较框架，帮助选择方法论。

方法论概览

1. CNIL PIA 工具（法国）

来源：法国国家信息与自由委员会（CNIL），首次发布于 2015 年，2018 年更新以符合 GDPR。

结构：

• 第 1 步：背景——描述处理活动、其目的、所处理的数据以及涉及的各方。
• 第 2 步：基本原则——评估是否符合必要性、比例原则、数据主体权利和义务（第 5、6、9、12-22、28、44 条）。
• 第 3 步：风险——识别可能发生的事件（非法访问、未经授权的修改、数据丢失），评估其严重性和可能性。
• 第 4 步：验证——将风险与控制措施对应起来。决定是接受剩余风险、实施额外措施，还是咨询监管机构。

主要特点：

• 采用三种可能事件模型（访问、修改、丢失），以适用于隐私保护的 CIA 三元组为基础。
• 严重性等级：可忽略、有限、显著、最高。
• 可能性等级：可忽略、有限、显著、最高。
• 风险矩阵：以 4x4 网格映射严重性与可能性。
• 明确关联第 35 条和第 36 条的事先咨询门槛。
• 提供可下载的开源 PIA 软件工具。

监管认可：

• 法国监管机构提交材料所要求的格式。
• 比利时 DPA（APD/GBA）认可其为合规方法论。
• EDPB 在 WP248rev.01 中将其列为良好实践示例。
• 在法语地区广泛使用（比利时、卢森堡、瑞士）。

2. ICO DPIA 模板（英国）

来源：英国信息专员办公室（ICO）。作为 ICO GDPR 指南的一部分发布，并针对脱欧后的 UK GDPR 进行了更新。

结构：

• 第 1 步：确定是否需要开展 DPIA——依据第 35(3) 条的触发条件和 ICO 发布的需开展 DPIA 的处理活动清单进行筛查。
• 第 2 步：描述处理活动——处理的性质、范围、背景和目的。数据流，包括接收方和数据传输。
• 第 3 步：咨询流程——记录与数据主体、DPO 和其他利益相关方的咨询情况。
• 第 4 步：评估必要性和比例原则——合法依据、目的限制、数据最小化、准确性、存储期限限制、安全性和国际数据传输。
• 第 5 步：识别并评估风险——按风险来源、损害性质、严重性和可能性整理对个人的风险。
• 第 6 步：确定风险缓解措施——针对每项风险，确定可将其降至可接受水平的措施。
• 第 7 步：签署并记录结果——DPO 意见、控制者决定，以及与处理活动登记册的衔接。

主要特点：

• 七步线性流程，旨在便于实际填写。
• 强调与数据主体协商（第 3 步），这是其他方法论中不太突出的特点。
• 风险评估侧重于对个人的损害，而非 CIA 三元组。
• 明确要求记录 DPO 的意见以及是否采纳。
• 提供可下载的 Word 文档模板。
• 第 1 步中包含筛查清单。

监管认可：

• 英国 ICO 提交材料和事先咨询所要求的格式。
• 爱尔兰 DPC 认可其为英国与爱尔兰跨境处理活动的合规方法论。
• 被用作多个成员国 DPA 模板（丹麦、荷兰）的基础。
• 英国政府建议在公共部门处理活动中使用。

3. NIST 隐私框架（美国）

来源：美国国家标准与技术研究院（NIST），1.0 版于 2020 年 1 月发布。自愿性框架。

结构：

• 核心：五项职能——识别、治理、控制、沟通、保护。
• 配置文件：评估各子类别的当前状态和目标状态。
• 实施等级：从第 1 级（部分）到第 4 级（自适应）的成熟度等级。

主要特点：

• 本身并非 PIA 方法论，但提供了开展 PIA 所需的组织背景。
• IDENTIFY 职能（ID.RA）直接对应 PIA 中的风险评估活动。
• 与 NIST 网络安全框架（CSF）互为补充，专为联合部署而设计。
• 不限行业：适用于所有行业，不局限于特定监管环境。
• 隐私工程目标：可预测性、可管理性、可解除关联性。
• 未规定风险等级或矩阵，由组织自行制定。

监管认可：

• 并非监管要求，但受到美国联邦机构（FTC、HHS、DOE）的广泛引用。
• 被美国州级监管机构（CCPA/CPRA、VCDPA、CPA）认可为隐私项目成熟度的证明。
• APEC CBPR 体系在跨境数据流方面引用了该框架。
• 欧盟组织越来越多地将其作为 GDPR DPIA 的补充加以引用。

4. ISO/IEC 29134:2017 — 隐私影响评估指南

来源：国际标准化组织，2017 年发布。国际标准。

结构：

• 第 6 条：PIA 准备——确定必要性、组建 PIA 团队、制定 PIA 计划、与利益相关方沟通。
• 第 7 条：PIA 执行——收集信息、分析数据流、分析隐私风险（识别、估算、评价）、处理隐私风险。
• 第 8 条：PIA 后续工作——PIA 报告、发布摘要、实施处理计划、审计/审查。

主要特点：

• 最全面、最系统的方法论，作为可审计标准而设计。
• 风险评估基于 ISO 31000 风险管理框架。
• 隐私风险 = 可能性 x 后果（对数据主体造成的后果，而非对组织造成的后果）。
• 要求在评估开始前制定正式的 PIA 计划。
• 要求与利益相关方沟通，其中包括数据主体。
• PIA 报告有规定的结构（第 8.2 条），包含 13 个必需部分。
• 与 ISO/IEC 27701（隐私信息管理）和 ISO/IEC 27001（信息安全）相结合。

监管认可：

• 全球监管机构均接受其作为系统化方法的证明。
• EDPB 在 WP248rev.01 中将其作为 PIA 方法论的示例加以引用。
• 多个亚太地区的数据保护机构（新加坡 PDPC、韩国 PIPC、日本 PPC）要求或建议采用该标准。
• 认证机构将 ISO 29134 用作 Art. 42 GDPR 认证方案的评估框架。

方法论比较矩阵

维度	CNIL PIA	ICO DPIA	NIST PF	ISO 29134
监管来源	法国数据保护机构（CNIL）	英国数据保护机构（ICO）	美国 NIST	国际（ISO/IEC）
法律框架	GDPR	UK GDPR	不限行业	国际
风险模型	3 种受关注事件（基于 CIA 调整）	对个人的伤害	由组织定义	基于 ISO 31000
风险等级	4x4（从可忽略到最高）	定性（低/中/高）	由组织定义等级	可能性 x 后果
步骤/阶段	4 个步骤	7 个步骤	5 项职能	3 个条款（准备/执行/跟进）
数据主体咨询	建议进行	明确要求（第 3 步）	COMMUNICATE 职能	要求进行（第 6.4 条）
DPO 参与	必须参与	必须参与并记录建议	不适用（无 DPO 概念）	建议参与
工具可用性	开源软件	Word 模板	Excel 自我评估	无官方工具
成本	免费	免费	免费	需购买标准（约 CHF 166）
认证对齐	无	无	与 NIST CSF 对齐	ISO 27701、ISO 27001
典型完成时间	2-4 周	1-3 周	持续进行（框架）	4-8 周
最适用于	欧盟/GDPR 数据处理、受法国监管的实体	英国数据处理、实用的快速入门	美国组织、基于框架的计划	跨国组织、可审计且寻求认证的组织

方法论选择标准

决策因素

因素	权重	考量因素
监管辖区	高	哪个监管机构会审查该评估？采用其首选方法。
组织成熟度	中	成熟度低 → ICO（最简单）。中等 → CNIL。高 → ISO 29134。
数据处理复杂度	中	简单的数据处理 → ICO。复杂/高风险 → CNIL 或 ISO 29134。
国际范围	高	单一辖区 → 当地数据保护机构的方法。多个辖区 → ISO 29134。
认证目标	中	计划取得 ISO 27701 或 Art. 42 认证 → ISO 29134。
资源可用性	中	资源有限 → ICO。拥有专职隐私团队 → ISO 29134。
现有框架	低	已在使用 NIST CSF → 加入 NIST PF。已采用 ISO 27001 → ISO 29134。

选择决策树

1. 数据处理是否受特定监管机构管辖，该机构是否强制要求或建议采用某种方法？
   • 是 → 采用该监管机构的方法（法国采用 CNIL，英国采用 ICO）。
   • 否 → 继续第 2 步。
2. 组织是否在多个辖区开展业务？
   • 是 → ISO 29134（国际认可）。
   • 否 → 继续第 3 步。
3. 组织的隐私成熟度如何？
   • 低（没有正式的隐私计划）→ ICO DPIA 模板（最快上手）。
   • 中（已有隐私计划）→ CNIL PIA 工具（结构化且易于使用）。
   • 高（隐私计划成熟，并有认证目标）→ ISO 29134。
4. 组织是否位于美国，并已部署 NIST CSF？
   • 是 → 将 NIST PF 作为组织框架，并针对个人 DPIA 补充 CNIL 或 ICO。
   • 否 → 采用第 1-3 步的选择结果。

跨方法映射

CNIL 步骤	ICO 步骤	NIST PF 职能	ISO 29134 条款
步骤 1：背景	步骤 2：描述处理活动	ID.IM（清单与映射）	第 6 条：准备
—	步骤 1：确定需求	—	第 6.1 条：确定必要性
—	步骤 3：咨询	CT.PO（沟通政策）	第 6.4 条：利益相关方参与
步骤 2：基本原则	步骤 4：必要性与比例性	GV.PO（治理政策）	第 7.3 条：隐私保障分析
步骤 3：风险	步骤 5：识别并评估风险	ID.RA（风险评估）	第 7.4 条：风险分析
步骤 4：验证	步骤 6：缓解措施	CT.DM（数据处理管理）	第 7.5 条：风险处置
—	步骤 7：签署并记录	GV.AT（意识与培训）	第 8 条：后续跟进

执法与监管指南

• EDPB WP248rev.01：将 CNIL 和 ISO 29134 均列为可接受的 DPIA 方法。该文件未规定任何特定方法，但要求所选方法满足第 35(7)(a)-(d) 条的最低内容要求。
• 第 35(7) 条最低内容要求：任何方法都必须包括：(a) 对处理活动及其目的的系统性描述；(b) 必要性与比例性评估；(c) 风险评估；(d) 应对风险的措施。所有四种方法都满足这些要求。
• CJEU C-175/20（SS SIA 'Valsts ieņēmumu dienests'）：法院确认，DPIA 必须从数据主体的角度而非控制者的角度评估风险，这与 ICO 和 ISO 29134 以损害为基础的方法一致。
• CNIL Deliberation 2018-327：公布了可接受的 DPIA 方法标准，共 10 项，任何方法都必须满足，无论使用哪种工具。