一、结论先行：五种情形、三项内容、三年保存
个人信息保护影响评估是《个人信息保护法》确立的一项前置性合规义务，属于必须"做事留痕"的类型。规则要点可以压缩成三组数字：
- 五种情形必须事前评估。处理敏感个人信息；利用个人信息进行自动化决策；委托处理个人信息、向其他个人信息处理者提供个人信息、公开个人信息；向境外提供个人信息；其他对个人权益有重大影响的个人信息处理活动（《个人信息保护法》第五十五条）。
- 评估内容包括三项。个人信息的处理目的、处理方式等是否合法、正当、必要；对个人权益的影响及安全风险；所采取的保护措施是否合法、有效并与风险程度相适应（第五十六条）。
- 记录至少保存三年。个人信息保护影响评估报告和处理情况记录应当至少保存三年（第五十六条）。
另有一条需要区分清楚：影响评估与合规审计是两项不同的义务。个人信息处理者应当定期对其处理个人信息遵守法律、行政法规的情况进行合规审计（第五十四条）。影响评估针对的是特定处理活动的事前风险评价，合规审计针对的是处理者整体合规状况的定期检查，两者不能互相替代。
二、三种评估工具的区分
个人信息合规领域存在三种名称相近的评估，适用对象与触发条件完全不同，实务中经常被混用，对照如下。
| 比较项 | 个人信息保护影响评估 | 个人信息保护合规审计 | 数据出境安全评估 |
|---|---|---|---|
| 依据 | 《个人信息保护法》第五十五条、第五十六条 | 《个人信息保护法》第五十四条 | 《个人信息保护法》第三十六条、第三十八条等及数据出境相关规定 |
| 触发方式 | 发生五类特定处理活动时，事前进行 | 定期开展 | 达到规定情形时向主管部门申报 |
| 实施主体 | 个人信息处理者自行组织 | 处理者自行或者委托专业机构开展 | 由主管部门组织评估 |
| 主要产出 | 评估报告与处理情况记录（至少保存三年） | 审计报告与整改记录 | 主管部门的评估结论 |
| 能否互相替代 | 不能。三种评估的对象、触发条件与程序各不相同，实践中可以合并调查、共用材料，但在法律上必须分别满足各自的义务要求。 | ||
三、五项法定情形的逐项拆解
情形一：处理敏感个人信息
敏感个人信息是一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息（第二十八条）。处理敏感个人信息应当具有特定的目的和充分的必要性，并采取严格保护措施。
情形二：利用个人信息进行自动化决策
利用个人信息进行自动化决策，包括通过计算机程序自动分析、评估个人的行为习惯、兴趣爱好或者经济、健康、信用状况等并进行决策的活动（第二十四条）。评估重点在于决策的透明度与结果公平公正，以及是否提供便捷的拒绝方式。
情形三：委托处理、向他人提供、公开个人信息
三者性质不同但都触发评估义务。其中向其他个人信息处理者提供个人信息的，应当向个人告知接收方的名称或者姓名、联系方式、处理目的、处理方式和个人信息的种类，并取得个人的单独同意（第二十三条）；公开个人信息原则上不得为之，取得个人单独同意的除外（第二十五条）。委托处理与共同处理还需要在协议中就处理目的、期限、处理方式、保护措施等作出约定。
情形四：向境外提供个人信息
向境外提供个人信息的，应当向个人告知境外接收方的名称或者姓名、联系方式、处理目的、处理方式、个人信息的种类以及个人向境外接收方行使权利的方式和程序等事项，并取得个人的单独同意（第三十九条）。此类活动同时可能触发数据出境安全评估、标准合同或者认证等路径的选择问题。
情形五：其他对个人权益有重大影响的处理活动
这一项是兜底条款，判断标准是处理活动对个人权益的影响程度。实践中被纳入的典型场景包括：大规模个人信息处理、涉及人脸识别等生物特征的应用、面向未成年人的产品与服务、可能影响个人征信或者就业机会的处理活动。由于标准较为原则，是否需要评估在个案中可能产生分歧，实务中存在争议，稳妥做法是作出书面的初步判断并留存理由。
四、评估内容与记录的落地要求
第五十六条规定的三项评估内容，在操作层面可以展开为一组固定问题：
- 目的与方式是否合法、正当、必要。对应的问题包括：处理目的与产品或功能是否直接相关；收集范围是否超出实现目的的最小范围；是否存在以捆绑方式取得同意。
- 对个人权益的影响及安全风险。对应的问题包括：涉及的个人信息类型与数量；是否涉及敏感个人信息；是否面向未成年人等特殊群体；发生泄露、篡改、丢失的可能后果。
- 保护措施是否合法、有效并与风险程度相适应。对应的问题包括：加密、去标识化、访问权限控制等技术与组织措施是否落地；是否设置了应急处置流程；委托处理情形下受托方的义务约定是否清晰。
记录环节的常见失分点有四个：评估时点晚于处理活动开始（影响评估的性质是事前评估）；评估对象不具体（用一份报告覆盖全部业务，无法对应到具体处理活动）；缺少复查机制（处理目的、方式或者个人信息种类发生变化时应重新评估）；保存期限不足三年（第五十六条明确要求至少保存三年）。
五、与其他合规义务的衔接
影响评估不是孤立的文件，它与以下义务存在直接联动：
- 告知与同意。影响评估应当与告知同意的落地情况相互印证；对需要单独同意的事项，应当核对同意记录是否可追溯。
- 数据处理协议的书面化。委托处理、向他人提供的场景下，影响评估的结论应当体现在书面协议的具体条款中，避免评估结论与合同条款脱节。
- 个人信息保护负责人（或指定代表）。处理个人信息达到国家网信部门规定数量的处理者，应当指定个人信息保护负责人，影响评估的组织、复查与归档通常由该岗位负责推动。
- 境外提供场景下的多路径选择。涉及数据出境的，影响评估的结论是数据出境路径选择的重要输入，但出境路径另有独立判断标准，不能以影响评估替代。
六、常见问题
问：影响评估必须委托外部机构做吗？
法律未强制要求委托外部机构。个人信息保护影响评估由个人信息处理者自行组织即可，实践中委托专业机构更多是为提高结论的独立性与可采性。
问：评估报告要保存多久？
评估报告和处理情况记录应当至少保存三年（《个人信息保护法》第五十六条）。建议配合处理活动的存续期间一并考虑，处理活动持续更久的，保存期限应当相应延长。
问：只做一次评估，能否覆盖以后所有的处理活动？
不能。影响评估以具体的处理活动为对象；处理目的、处理方式或者个人信息种类发生变化时，应当重新评估。
问：公司规模不大，也需要做吗？
第五十五条未按规模设置豁免。只要发生了五类法定情形之一，就应当事前进行影响评估并记录处理情况。小微处理者可以从一份精简但要素齐全的评估表开始，确保三项评估内容与保存要求落地。
问：影响评估做了，是否就免除了告知同意义务？
不免除。影响评估与告知同意是并行的两项义务，前者解决风险评估问题，后者解决处理行为的合法性基础问题，不能互相替代。
问：未成年人相关的处理活动有什么特别要求？
不满十四周岁未成年人的个人信息属于敏感个人信息，处理时应当取得父母或者其他监护人的同意，并制定专门的个人信息处理规则。此类活动通常同时构成第五十五条第一项与第五项的触发情形。
法条与依据核验：《中华人民共和国个人信息保护法》（2021年11月1日起施行）第二十三条、第二十四条、第二十五条、第二十八条、第三十六条、第三十八条、第三十九条、第五十四条、第五十五条、第五十六条。特别说明：上述条文序号均依《个人信息保护法》现行有效文本逐条核对；本文第二节所涉数据出境安全评估，其适用情形与豁免标准另有专门规定（包括向境外提供个人信息的安全评估办法及相关规定），具体适用需对照现行有效文本判断；本文第三节第五项兜底情形的适用边界在个案中可能产生分歧，已在正文标注实务中存在争议。另需提示：《网络数据安全管理条例》已自2025年1月1日起施行，涉及网络数据处理者义务的内容应以该条例与《个人信息保护法》的现行文本为准，请以全国人大、国务院、国家网信部门官方公布文本为准。
