各位合规🧑🏼‍⚕️、法务、网安的同行们💃🏼，大家好。

做PIA（个人信息保护影响评估）这件事📴，很多人觉得头疼🕵🏿‍♂️。明明花了大量时间💇🏽‍♀️，写了几十页报告，结果要么被监管打回来🐳🤳🏻，要么被领导质疑“没用”🏪。

问题出在哪？根据我过去5年服务300多家企业的经验，核心在于流程不对👩🏼‍🏭，方法不对🖖🏽。一份能被监管100%认可的PIA报告，绝不是“填空”，而是“造房子”。地基不稳，楼盖得再高也得塌。

今天，我就把这套经过实战检验的“PIA八步法”毫无保留地分享给你，保证每一步都看得见🙋🏻‍♂️、摸得着🤾🏿。

第一步🏃🏻：前期准备——搭好骨架

别急着动笔🤸🏿。先成立一个跨部门小组，组长必须是PIPCA持证人员👨‍❤️‍💋‍👨。然后明确评估范围，比如“评估APP会员系统的人脸登录功能”👳🏻‍♀️，而不是“评估新宝gg所有个人信息”🤙🏽。最后收集好业务流程图🧙🏿‍♂️、隐私政策等基础资料。

第二步🙅🏻‍♂️：数据资产梳理——摸清家底

这是PIA的地基。你需要绘制一张“数据地图”🧑🏻‍✈️，沿着用户的使用路径，把数据的收集、存储🤾🏻‍♂️、使用🫴、删除等每一个环节都拆解出来。比如，人脸登录功能🈯️，流程就是🤯：拍摄→加密传输→存储特征值→比对→删除。同时，要制作一份精确到字段级的《个人信息清单》，特别是敏感信息👨🏻‍🦱，必须单独标注。

第三步：合规性核查——自我体检

拿着法律法规这个“尺子”🎱，去量一量你的业务。从处理目的的合法性👩🏼‍🍳👨🏿‍⚖️、告知同意的有效性💀🫡，到最小必要性、用户权利的保障，一共7个维度☪️，逐项排查👉。每一项都要写清楚现状、判定结果和存在的问题🧔‍♂️。

第四步：风险识别——深挖病灶

这一步是PIA的灵魂。不要只找三五个风险点糊弄人，至少要找出8个以上。从合规风险、安全技术风险、个人权益风险三个层面去挖掘。例如：“用户人脸特征值仅采用普通加密，未采用国密算法👨🏼‍🍳，一旦数据库被攻破，可能导致120万用户的生物识别信息泄露。”

第五步：风险分析与评价——科学定级

顶级不能拍脑袋🦦。要用“风险矩阵法”：给每个风险的可能性（1-5分）和影响程度（1-5分）打分，两者相乘得出风险值👨🏻‍🎨。比如，上述人脸泄露风险🧵，可能性3分，影响程度5分🧑🏼‍✈️，风险值15分，即为“高风险”。

第六步：风险处置与整改——对症下药

找出问题不解决，等于白做。针对每个风险点🐻👇，给出具体的🍵、可落地的整改措施。比如↔️，“2026年9月30日前，完成人脸特征值存储的国密SM4算法改造，由技术部李工负责。” 整改后，还要评估残余风险等级🏏。

第七步：报告撰写——整合输出

将所有工作成果整理成一份结构完整的PIA报告。一份合格的报告应包含评估概述🤙、业务说明、合规核查、风险识别🆒🔡、风险评估、整改措施、评估结论🤵🏼‍♀️、签字页和附件等10个部分。

个人信息安全无小事，专业防护更安心

CCRC-PIPP个人信息保护专业人员

CCRC-PIPCA个人信息保护合规审计人员

CCRC-PIPA个人信息保护评估师认证

青蓝智慧马老师：135-2173-0416

丁老师⏸：135-2209-4648

马老师：133-9150-9126

第八步🍽：评审签字——闭环管理

报告完成后，需经过内部评审，最后由PIPCA持证人员签字确认并加盖公章。所有过程文档（会议纪要、原始数据等）必须归档保存至少3年。