专栏名称: 网安寻路人

立足本土实践和需求，放眼全球做法和经验，探寻网络空间安全之法道。

PIA仅是一个合规评审吗？——工程思维与法律思维的碰撞

网安寻路人 · 公众号 · · 2023-09-04 07:58

正文

编者按：

在万众瞩目下，我国《个人信息保护法》历经多年的酝酿，终于和国人乃至世界见面。对这部我国“数字时代的基本法”进行解读，从不同的角度能看到不一样的精妙之处。此前，本公号发表过的关于此议题相关文章包括：

关于个人信息安全影响评估的文章如下：

今天和大家分享的是尚隐科技团队发表的一篇文章【PIA仅是一个合规评审吗？——工程思维与法律思维的碰撞】，原文首发于他们的公众号。

理想总裁李想曾经重新阐述过“盲人摸象”：如果你只摸到了象的耳朵，那么你的解决方案就是拿一个筐，把耳朵拎走；如果你摸到的是整头大象，你的解决方案就会是集装箱，用卡车把它运走；但是如果你摸到了整个象群，你的解决方案可能是修桥、修路。很不幸，问题又在重演，这次是“PIA到底是什么”。

从工程实践角度来看，国内正在经历从App合规检测到PIA（个人信息保护影响评估）落地的过渡(大家可以猜猜，海外合规落地是从那个功能开始的？)。相比于App合规检测的标准化及聚焦于采集侧的局限性，PIA的落地更具协作性、对整个合规管理工作更具牵引性，也更加贴近业务。实际上，从“实质合规”与实现合规管理闭环的角度来看，PIA的落地将是一场“法律思维”与“工程思维”的激烈碰撞！我相信，很多人其实并未意识到有这个问题，更不清楚这意味着什么！

《个人信息保护法》清晰定义了需要进行PIA的5种情形及相关内容。PIA通常被视为一种隐私风险评估过程，它根据其对个人隐私的影响来评估涉及个人信息的实施或操作，目的是避免或尽量减少不利影响。目前，PIA已成为大部分处理个人信息的企业的强制性义务，譬如跨境安全评估的必备要件等，也是企业自证清白的有利武器，譬如应对监管机构执法或商业伙伴的调查与审计等。从这个角度看，PIA将是一个对某个具体数据处理活动的“体检”。

但从工程能力以及未来支撑“全掌控、真合规”的合规管理全系统的角度来看，PIA的定义和内容有更多的定义。

PIA是对个人信息处理活动的清晰“重绘”

它将描述收集到的个人信息清单、共享交换的第三方、个人信息收集方式、个人信息收集的合法性基础、数据存留期限、数据处理方式（自动化决策等）、数据流动（第三方共享交换、数据跨境、业务间传递等）等。有了PIA，我们可清晰掌握个人信息的采集、处理、共享交换等详细信息，解决某次个人信息处理活动具体“是什么”的问题。实际上，只要做过的人都知道，PIA这个“体检”的质量，强依赖于对个人信息处理活动的详细描述。

PIA是对个人信息处理活动的合规“设计”

评审，只是PIA的结果；相比结果，工程实践更关注过程的落地。通过PIA，可引导业务活动的设计，以期主动规避或纠正问题。更主要的是，通过评审的PIA，是最了解业务功能实现逻辑及详情的业务人员、最懂法律法规的合规人员、最懂数据保护的安全人员等联合协作下，对某个基于特定业务目的的处理活动的“联合设计”，并最终各方达成一致意见。这个设计过程，涉及到数据的采集、存储、处理、使用、共享、存留等全生命周期的所有合规管理活动，定义了“什么是正确”的个人信息处理活动。

PIA是对个人信息处理活动的合规“基线”

常规认为，PIA的核心输入是一套问卷和一套流程，输出是一个结论、对应的报告以及风险与应对措施，这其实是在对PIA的严重浪费！基于PIA的“设计作用”，已事实上构建了一个数据全生命周期合规管理的隐私合规管理基线。在这个基线中，清晰定义了数据采集、存储、传输、处理、使用、共享、存留等过程中合规管理活动的所有要求，超越或违犯这个“基线”要求的数据处理都是存在风险的。

PIA的“基线”作用，将大大提升后续合规管理活动落地的自动化能力，譬如根据PIA自动生成隐私政策或权利列表；也为PIA摆脱“纸面合规”提供了可能——与数据管理相关功能联动，可以实现真实数据与PIA设计的校验。

除了法律法规要求，工程能力构建还要考虑PIA的质量保障、协作效率、有效落地、管理闭环，以及以上带来的风险管控。此外，为匹配后续落地隐私合规管理功能的自动化，PIA也许会承担更多的功能，譬如主体权利响应的定义与接口。更难的是，还要在此基础上保护团队尤其是业务人员脆弱的积极性，你还认为PIA是一次简单的评审吗？

或许许多人喜欢孤立地看待PIA，只把PIA当成一次合规的“体检”，或者只把PIA系统落地当成一个流程的IT化或工具化。但是，基于评审角度的PIA仅能够证明你做过、管过，却无法证明你管得好不好，PIA究竟有没有用。而如果把PIA当成合规管理系统的一部分，那么，经过重新定位，PIA就变成了一个数据处理项目的隐私合规系统的良好开端；如果认为未来合规管理系统应该是智能、自动与高效的，那么PIA的准确定位与有效管理，将直接决定未来隐私合规运营的自动化程度！

总而言之，PIA到底是一个筐、一个集装箱还是一条路？这取决于你如何定位它！

数据保护官（DPO）社群主要成员是个人信息保护和数据安全一线工作者。他们主要来自于国内头部的互联网公司、安全公司、律所、会计师事务所、高校、研究机构等。在从事本职工作的同时，DPO社群成员还放眼全球思考数据安全和隐私保护的最新动态、进展、趋势。2018年5月，DPO社群举行了第一次线下沙龙。沙龙每月一期，集中讨论不同的议题。目前DPO社群已超过400人。关于DPO社群和沙龙更多的情况如下：

DPO线下沙龙的实录见：

域外数据安全和个人信息保护领域的权威文件，DPO社群的全文翻译：

传染病疫情防控与个人信息保护系列文章

关于数据与竞争政策的翻译和分析：

健康医疗大数据系列文章：

网联汽车数据和自动驾驶的系列文章：

网络空间的国际法适用问题系列文章：

《网络数据安全管理条例（征求意见稿）》系列文章：

《数据安全法》的相关文章包括：

赴美上市的网络、数据安全方面的两国监管乃至冲突方：

个性化广告或行为定向广告（behavioral targeting advertising）系列的文章：

人脸识别系列文章：

内容安全方面的文章如下：

关于健康医疗数据方面的文章有：

第29条工作组/EDPB关于GDPR的指导意见的翻译：

数字贸易专题系列：

关于中国数据出境安全管理制度的文章

美国方面的个人信息保护立法的文章：

关于印度的数据保护和数据治理政策和技术文件的文章有：

关于欧盟技术主权相关举措的翻译和分析：

关于数据的安全、个人信息保护、不正当竞争等方面的重大案例：

本公号发表过的关于数据要素治理的文章有：

围绕供应链安全，本公众号曾发表文章：

围绕着出口管制，本公众号曾发表文章：

本公号发表过的关于数据执法跨境调取的相关文章：

关于业务场景中数据跨境流动的文章如下：

通过技术增强对个人信息的保护的文章包括：

关于保护网络和信息系统安全的相关文章包括：

关于个人数据和域外国家安全审查之间的关系：

围绕着TIKTOK和WECHAT的总统令，本公号发表了以下文章：

地缘政治与跨国科技公司运营之间的互动影响：

关于中美与国家安全相关的审查机制，本公号发布过以下文章：

关于LLMs（大型语言模型）的风险和监管，本公号发布过以下文章：

关于人工智能安全和监管，本公号发布过以下文章：

PIA仅是一个合规评审吗？——工程思维与法律思维的碰撞

正文

美国电信行业涉及外国参与的安全审查（一）：基本制度介绍

美国电信行业涉及外国参与的安全审查（二）：国际性的第214节授权

美国电信行业涉及外国参与的安全审查（三）：建立外国参与安全审查的行政令

美国电信行业涉及外国参与的安全审查（四）：FCC对中国企业的陈述理由令