conducting-gdpr-dpia

开展 GDPR 数据保护影响评估

概述

数据保护影响评估（DPIA）是 GDPR 第 35 条规定的一套结构化流程，旨在识别、评估并缓解数据处理活动可能对自然人的权利和自由造成的风险。DPIA 不只是合规检查项，而是一项持续运行的风险管理工具，必须在处理开始前开展，并在整个处理生命周期内不断更新。本技能采用欧洲数据保护委员会在 WP248rev.01（《数据保护影响评估指南》）中建议的方法，并纳入 Art. 35(1)-(11) 中可强制执行的要求。

强制开展 DPIA 的情形 — Art. 35(3)

如果处理可能对自然人的权利和自由造成高风险，则必须开展 DPIA，尤其是在以下情形中：

Art. 35(3) 规定的自动触发情形

触发情形	GDPR 参考条款	说明
具有重大影响的系统性、大规模画像	Art. 35(3)(a)	自动化处理（包括画像）会对数据主体产生法律效力或类似重大影响
大规模处理特殊类别数据或犯罪数据	Art. 35(3)(b)	大规模处理 Art. 9(1) 所述数据（健康、生物识别、遗传、种族、政治、宗教、性取向、工会）或 Art. 10 所述数据（刑事定罪）
对公共区域进行系统性、大规模监控	Art. 35(3)(c)	闭路电视监控、无人机监控、Wi-Fi 跟踪，或其他对公众可进入区域进行的系统性、大规模监控

EDPB WP248rev.01 标准 — 符合两项或以上触发条件时必须开展 DPIA

EDPB 制定了九项标准，用于识别高风险处理。如果一项处理活动符合其中两项或以上标准，则推定必须开展 DPIA：

1. 评估或评分 — 画像、预测、信用评分、行为分析
2. 会产生法律效力或重大影响的自动化决策 — 决定是否能够获取服务、合同或福利的处理
3. 系统性监控 — 观察、跟踪或监视数据主体
4. 敏感数据或高度个人性质的数据 — Art. 9 特殊类别、财务数据、通信元数据、位置数据
5. 大规模处理数据 — 数据主体数量、数据项数量、地理范围、处理时长
6. 匹配或合并数据集 — 合并来自多个来源的数据，超出数据主体的合理预期
7. 涉及弱势数据主体的数据 — 儿童、员工、精神疾病患者、寻求庇护者、老年人、患者
8. 创新用途或应用新的技术解决方案 — 将指纹和面部识别与访问控制结合、IoT 应用、AI 驱动的处理
9. 妨碍数据主体行使权利或使用服务的处理 — 包括但不限于会阻止其获取服务的筛查流程

DPIA 内容要求 — Art. 35(7)

每份 DPIA 至少必须包含以下四项内容：

(a) 对处理活动及其目的的系统性描述

• 处理性质：收集、记录、编排、结构化、存储、调整、更改、检索、查询、使用、披露、传播、组合、限制、删除、销毁
• 范围：数据主体类别、个人数据类别、数据量和频率、地理范围
• 背景：控制者与数据主体之间的关系、数据获取方式、数据主体的预期
• 目的：Art. 5(1)(b) 规定的具体目的、Art. 6(1) 规定的合法依据，以及在适用情况下 Art. 9(2) 规定的条件

(b) 必要性与比例性评估

• 具体说明合法依据
• 目的限制分析：每项数据是否都是实现所述目的所必需的？
• 数据最小化评估：能否使用更少的数据或匿名数据实现该目的？
• 存储限制：保留期限是否有合理依据并得到执行？
• 促进数据主体行使权利：如何保障其行使第 15-22 条规定的权利？
• 在适用情况下，依据第五章为国际传输设置保障措施

(c) 对权利和自由的风险评估

针对每项已识别的风险进行评估：

风险维度	评估标准
可能性	极低（< 10%）、可能（10-50%）、很可能（50-90%）、几乎确定（> 90%）
严重程度	可忽略（造成不便）、有限（影响显著但可恢复）、显著（造成严重困难）、最高（造成不可逆后果）
风险等级	可能性 x 严重程度矩阵，得出低、中、高或极高风险等级

需评估的伤害类型：

• 人身伤害（歧视导致暴力、被拒绝提供医疗服务）
• 物质损害（经济损失、身份盗用、失业）
• 非物质损害（声誉受损、情绪困扰、自主权丧失）
• 社会伤害（对言论自由的寒蝉效应、歧视、排斥）
• 失去对个人数据的控制（无法行使权利、不知情的数据处理）

(d) 应对风险的措施

• 技术措施：静态和传输中加密（AES-256、TLS 1.3）、依据第 4(5) 条进行假名化、访问控制（RBAC）、自动删除、审计日志记录
• 组织措施：隐私政策、员工培训、DPO 监督、事件响应流程、依据第 28 条签订数据处理协议
• 合同措施：通知数据主体、同意机制、处理者义务
• 剩余风险评估：实施风险缓解措施后的风险等级

DPIA 流程方法

步骤 1：筛查与界定范围（第 1 周）

1. 完成隐私门槛分析问卷，确认是否有义务开展 DPIA。
2. 界定处理活动的范围：包括哪些系统、数据流和组织部门。
3. 确定 DPIA 团队：处理负责人、DPO、IT 安全代表、法律顾问，以及在适当情况下依据第 35(9) 条指定的数据主体代表。
4. 收集现有文档：系统架构图、数据流图、隐私声明、同意书、处理者协议。

步骤 2：系统性说明（第 2 周）

1. 绘制从收集到删除的完整数据生命周期。
2. 记录所有处理的数据元素，并注明每项数据的合法依据。
3. 确定所有接收方和子处理者。
4. 记录国际传输情况及适用的保障机制。
5. 记录涉及的技术栈和基础设施。

步骤 3：必要性与比例性评估（第 3 周）

1. 针对每项数据元素，记录其为何是实现所述目的所必需的。
2. 评估侵入性更低的替代方案能否实现相同目的。
3. 评估是否符合数据最小化要求。
4. 确认保留期限符合比例原则，且在技术上得到执行。
5. 核实数据主体能否有效行使权利。

步骤 4：风险识别与评估（第 3-4 周）

1. 针对数据流图开展威胁建模（风险来源：内部人员、外部攻击者、处理者、系统故障）。
2. 针对每项威胁，依据第 35(7)(c) 条中的矩阵评估其可能性和严重程度。
3. 在风险登记册中记录风险，并为每项风险分配唯一标识符。
4. 计算缓解措施实施前的固有风险等级。

第 5 步：缓解措施（第 4-5 周）

1. 针对每项高风险或极高风险，确定具体的技术和组织措施。
2. 记录每项措施预计降低的风险。
3. 计算缓解后的剩余风险等级。
4. 如果剩余风险仍为高风险或极高风险，则升级至第 36 条，事先咨询监管机构。

第 6 步：DPO 建议与签字批准（第 5-6 周）

1. 根据第 35(2) 条，将已完成的 DPIA 提交给 DPO 进行独立审查。
2. 记录 DPO 的建议以及是否采纳；如果未采纳，记录原因。
3. 获取处理负责人签字批准和高级管理层审批。
4. 将 DPIA 记录在中央 DPIA 登记册中，并设定计划复审日期。

第 7 步：持续审查

1. 风险发生重大变化时审查 DPIA：新增数据类别、新增接收方、技术变更、安全事件、法规变化。
2. 定期审查，至少每年一次。
3. 记录所有审查结果，并对 DPIA 进行版本管理。

咨询 DPO — 第 35(2) 条

指定了数据保护官时，控制者应征求其建议。DPO 必须从筛查阶段开始参与。根据第 39(1)(c) 条，DPO 的职责包括就 DPIA 提供建议并监督其执行情况。控制者必须记录 DPO 的建议，以及未采纳建议的原因。

数据主体意见 — 第 35(9) 条

在适当情况下，控制者应就拟进行的处理征求数据主体或其代表的意见。可以采用以下形式：

• 对有代表性的数据主体样本开展调查或焦点小组讨论
• 员工受到影响时咨询工会
• 针对大规模政府数据处理开展公众咨询
• 处理健康数据时咨询患者权益团体

控制者必须记录是否征求了数据主体的意见；如果没有，须说明原因。

监管机构清单 — 第 35(4)-(5) 条

各监管机构会公布需要进行 DPIA 的处理活动清单（第 35(4) 条），也可以公布无需进行 DPIA 的处理活动清单（第 35(5) 条）。控制者必须查阅适用的国家清单。值得注意的示例：

• CNIL（法国）：14 类需要进行 DPIA 的处理活动，包括员工评分、健康数据仓库、生物识别门禁
• ICO（英国）：10 类需要进行 DPIA 的处理活动，包括隐形处理、在线追踪个人、自动化决策
• BfDI（德国）：用于身份识别的遗传或生物识别数据处理、征信机构评分、大规模用户画像

DPIA 常见缺陷

1. 风险描述笼统：仅将风险描述为“数据泄露”，却未说明攻击途径、受影响的数据类别和具体危害
2. 缺少必要性与比例性分析：从处理活动描述直接跳到风险，未评估处理是否必要且合乎比例
3. 未计算剩余风险：列出措施，却未评估这些措施是否将风险降至可接受水平
4. 未记录 DPO 建议：DPO 仅参与签字，未记录实质性建议
5. DPIA 静态不变：评估完成后便不再审查，即使处理活动发生重大变化也不例外
6. 缺少第 35(9) 条要求的理由说明：未记录是否征求数据主体意见，或未说明为何没有征求

执法先例

• Karolinska Institute（瑞典 DPA，2019）：因未按第 35 条要求开展 DPIA，处理遗传数据，被处以 200,000 瑞典克朗罚款。
• Austrian Post（奥地利 DPA，2019）：因对政党倾向进行画像被处以 1,800 万欧元罚款；DPIA 不充分是处罚的一个影响因素。
• Clearview AI（CNIL，2022）：因在未开展 DPIA 且缺乏合法依据的情况下处理生物识别数据，被处以 2,000 万欧元罚款。
• Real Madrid CF（AEPD，2023）：因在体育场实施 Wi-Fi 跟踪，却未按第 35(3)(c) 条要求针对大规模公共区域监控开展 DPIA，受到处罚。

集成要点

• 第 36 条 事先咨询：采取缓解措施后仍存在较高的剩余风险时，控制者必须在开始处理前咨询监管机构。
• 第 30 条 处理活动记录：DPIA 结论应与 RoPA 交叉引用，以确保一致性。
• 第 25 条 通过设计实现数据保护：DPIA 中确定的缓解措施直接用于隐私保护设计的实施。
• 第 33–34 条 违规通知：DPIA 风险评估有助于分析违规严重程度并作出通知决定。