# 简版个人信息保护影响评估（PIA）模板（v0.1）

> 配套模块：M04 数据合规。用于企业内部准备与审阅，不替代官方申报/备案模板，也不构成法律意见。
>
> 版本：v0.1 ｜ 更新：2026-10-29 ｜ 法源核对日期：2026-10-29
>
> 适用：向境外提供个人信息，以及《个人信息保护法》第五十五条规定的其他情形（敏感个人信息、自动化决策、委托/提供/公开、其他重大影响）。PIA 应在处理前完成；报告和处理情况记录至少保存 3 年。

## 0. 使用说明

1. **PIA 不是“数据出境风险自评估报告”。** PIA 是《个人信息保护法》第五十五—五十六条下的法定评估；安全评估路径下的“数据出境风险自评估”是《数据出境安全评估办法》第五条和第三版申报指南要求的申报材料。二者可以复用事实和证据，但不能互相替代。
2. **谁填、谁批。** 业务负责人提供场景、数据流和必要性；法务/隐私负责人负责合法性、告知同意、合同和境外环境；安全负责人负责权限、加密、日志和事件响应。评估人不能同时是唯一批准人。
3. **证据优先。** 每个“已采取措施”都要有有效性证据；没有证据的，填“待补充”，不要写“已落实”。
4. **结论规则。** 关键项存在“待补充”或高风险未整改的，不能输出“批准”；只能“附条件批准”或“不批准”。附条件批准要写清条件、责任人、截止日和验证方式；仅批准整改立项，法定前提和整改条件经验证满足前，不得据此开展相应出境。
5. **正式申报时扩展。** 安全评估、标准合同备案、认证各有官方模板和要求；本模板用于内部准备，正式提交前按官方最新模板扩展、补足格式和附件。

对于当前处理不满10万人个人信息的小型处理者（含敏感信息，不能只看当年出境人数），可核验[2026年简化措施规定](https://www.cac.gov.cn/2026-07/24/c_1786638889704872.htm)第八条的平台评估是否已完整覆盖、第十四条官方影响评估表的简便方式；本附件是通用内部底稿，不替代官方表。豁免三机制仍须核对 PIA 等义务及适用例外。

## 1. 封面与版本控制

| 项目 | 内容 |
| --- | --- |
| 评估项目名称 |  |
| 评估编号 |  |
| 境内处理者 |  |
| 业务/产品 |  |
| 评估范围（场景/系统/数据/期间） |  |
| 评估人/团队 |  |
| 复核人 |  |
| 批准人 |  |
| 版本 | v0.1 |
| 评估日期 |  |
| 下次复核日期 |  |
| 当前状态 | 草稿 / 待补充 / 附条件批准 / 批准 / 不批准 |

**版本记录**：

| 版本 | 日期 | 修改人 | 修改内容 | 审批状态 |
| --- | --- | --- | --- | --- |
| v0.1 |  |  | 初稿 |  |

## 2. 范围与数据流

### 2.1 评估范围

- 涉及业务/产品：____________
- 涉及境内系统：____________
- 涉及境外接收方/国家：____________
- 涉及数据主体：客户 / 员工 / 求职者 / 供应商联系人 / 未成年人 / 其他
- 涉及数据项：____________
- 明确不纳入本次评估的范围及理由：____________

### 2.2 数据流表

| 序号 | 环节 | 数据来源/系统 | 处理方 | 所在国家/地区 | 数据项 | 传输/访问方式 | 保存地点/期限 | 再提供 |
| --- | --- | --- | --- | --- | --- | --- | --- | --- |
| 1 | 收集 |  |  |  |  |  |  |  |
| 2 | 境内处理 |  |  |  |  |  |  |  |
| 3 | 出境 |  |  |  |  |  |  |  |
| 4 | 境外处理 |  |  |  |  |  |  |  |
| 5 | 删除/返还 |  |  |  |  |  |  |  |

### 2.3 数据流文字描述

用 150—300 字说明：数据从哪里产生、经过哪些系统、以什么方式出境、境外谁可以访问、权限多大、数据落在哪里、保存多久、是否再提供、如何删除。不要只写“通过系统传输”。

### 2.4 边界说明

- 本次评估是否覆盖境外远程访问：是/否
- 是否覆盖境外 SaaS/云备份/子处理者：是/否
- 是否覆盖集团内关联方：是/否
- 是否覆盖再提供：是/否/待核实
- 未覆盖部分及原因：____________

## 3. 目的、方式、合法基础、必要性及替代方案

| 项目 | 填写内容 | 证据 |
| --- | --- | --- |
| 处理目的 | 具体、明确，不用“提升体验”一类空话 | 业务说明、产品流程 |
| 处理方式 | 收集、存储、使用、传输、提供、公开、删除等 | 系统配置、数据流 |
| 合法基础 | 同意 / 合同必需 / HR 管理 / 法定职责 / 紧急保护 / 其他（《个人信息保护法》第13条） | 同意记录、合同、规章制度、法律依据 |
| 必要性 | 为什么必须出境？境内能否完成？是否限于最小范围？ | 必要性论证、替代方案比较 |
| 最小化 | 字段、人数、频率、保存期限是否最小 | 字段清单、权限矩阵 |
| 对个人权益的影响 | 不提供会怎样？出境后可能产生什么影响？ | 影响分析 |
| 替代方案 | 境内处理、脱敏、匿名化、限制访问、拒绝出境等 | 方案比较记录 |
| 告知/同意 | 是否告知境外接收方、目的、方式、种类、权利行使方式；基于同意处理时，出境/敏感信息是否单独同意；不满14周岁是否监护人同意；如主张免同意，说明第13条第二款依据 | 隐私政策、弹窗、单独同意记录 |

**结论**：目的合法、正当、必要吗？____________
**如不必要，是否停止或调整场景？**____________

## 4. 数据类别、敏感性、人数、频率、保存地点和期限

| 数据项 | 类别 | 是否敏感 | 人数口径 | 人数 | 频率 | 境内保存地点/期限 | 境外保存地点/期限 | 备注 |
| --- | --- | --- | --- | --- | --- | --- | --- | --- |
|  | 个人信息/重要数据/其他 | 是/否/待核实 | N/S/不计 |  |  |  |  |  |
|  |  |  |  |  |  |  |  |  |

**人数底稿**：附《数据出境初筛表》年度人数表、去重说明、数据源导出记录。N/S为已出境累计，预测另列N_plan/S_plan；按2024年官方答记者问第11问先排除指定豁免活动，再去重，不能用总人数直接减豁免人数；正式安全评估另列未来三年预测。
**重要数据**：本场景是否涉及重要数据？是/否/待核实；依据：____________

## 5. 境外接收方

| 项目 | 填写内容 | 证据 |
| --- | --- | --- |
| 名称/地址/国家 |  | 注册信息、合同 |
| 角色 | 独立处理者（自主决定目的/方式） / 受托处理 / 共同处理 / 集团内 | 合同、集团安排 |
| 处理目的/方式 |  | 合同、附录 |
| 访问权限 | 可查看/下载/导出/修改哪些字段 | 权限矩阵、账号清单 |
| 安全措施 | 加密、脱敏、访问控制、日志、培训、认证 | 配置、报告、证书 |
| 再提供 | 是否向第三方/子处理者提供；名单和地点 | 子处理者清单、合同 |
| 删除/返还 | 何时、如何删除/返还；备份如何处理 | 合同、删除记录 |
| 权利响应 | 能否响应查阅、更正、删除、撤回同意；时限 | 流程、联系人、SLA |
| 事件通知 | 多长时间内通知、通知内容 | 合同、应急预案 |
| 审计/监督 | 是否允许审计、报告、现场检查 | 合同、审计报告 |

## 6. 境外法律环境和实际影响

这一节不能预填“无风险”。没有做调查，就写“待补充”，并说明补查计划；不要用“当地法律很完善”代替证据。

| 调查项 | 调查结果 | 证据/来源 | 对本次出境的影响 | 结论 |
| --- | --- | --- | --- | --- |
| 当地个人信息保护法律/监管机构 |  | 法规原文、监管机构官网 |  | 有利/中性/不利/待补充 |
| 公共机关访问个人信息的权力 |  | 法条、案例、官方说明 |  |  |
| 个人权利和救济途径 |  | 法条、投诉/诉讼机制 |  |  |
| 接收方所在国与中国的条约/互认 |  | 条约、协定、官方说明 |  |  |
| 接收方历史事件/处罚 |  | 公开记录、尽调问卷 |  |  |
| 接收方安全能力 |  | 认证、审计、渗透测试 |  |  |
| 合同和技术保障能否补足 |  | 合同条款、加密/脱敏方案 |  |  |
| 再提供/子处理者所在国 |  | 子处理者清单、链路 |  |  |
| 总体结论 |  |  |  | 可接受/需补强/不可接受/待补充 |

**调查方法**：本地律师意见、官方文本、监管指南、行业报告、接收方问卷、现场/远程访谈。
**未解决事项**：____________

## 7. 风险登记与整改

**风险等级**：高＝可能导致重大权益损害或监管风险；中＝可能造成一定影响但可控；低＝影响有限且有充分措施。

| ID | 风险事件 | 影响对象/后果 | 已有措施 | 有效性证据 | 可能性 | 影响 | 剩余风险 | 整改措施 | 负责人 | 截止日 | 复核结果 |
| --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- |
| R1 |  |  |  |  | 高/中/低 | 高/中/低 | 高/中/低 |  |  |  |  |
| R2 |  |  |  |  |  |  |  |  |  |  |  |
| R3 |  |  |  |  |  |  |  |  |  |  |  |

**高风险项关闭条件**：整改完成 + 有效性证据 + 复核人确认。
**不能关闭的情形**：仅写“已要求供应商整改”、没有验证证据；仅靠合同条款、没有技术/管理措施；把风险转移给个人。

## 8. 结论及批准条件

### 8.1 结论（单选）

- [ ] **批准**：目的合法正当必要，风险可控，措施有效，无关键“待补充”。
- [ ] **附条件批准**：仅同意整改立项；条件、责任人、截止日、验证方式如下。验证完成前不得开展相应出境；关键证据缺失时选“待补充”。
- [ ] **不批准**：目的不必要、风险不可接受、关键证据缺失或整改未完成。
- [ ] **待补充**：关键调查/证据未完成，暂不开展或暂停新增出境。

### 8.2 批准条件

| 条件 | 责任人 | 截止日 | 验证方式 | 状态 |
| --- | --- | --- | --- | --- |
|  |  |  |  |  |

### 8.3 签署

| 角色 | 姓名 | 意见 | 日期 |
| --- | --- | --- | --- |
| 评估人 |  |  |  |
| 法务/隐私复核 |  |  |  |
| 安全复核 |  |  |  |
| 批准人 |  |  |  |

## 9. 保存、重评触发条件

- PIA 报告和处理情况记录至少保存 **3 年**；标准合同路径下，PIA 应在备案前 3 个月内完成；安全评估路径下，风险自评估应在申报前 3 个月内完成。
- 以下情形触发重评：出境目的/范围/种类/敏感程度/方式变化；境外保存地点/期限变化；境外接收方用途/方式变化；境外法律环境变化；接收方实际控制权/经营范围变化；发生数据安全事件；人数跨过门槛；合同/子处理者变化；其他可能影响个人权益的情形。
- 重评后要更新结论、批准条件和备案/评估材料；不能只改日期。

## 10. 附件清单

- [ ] 数据流图/文字说明
- [ ] 字段清单和分类分级
- [ ] 年度人数底稿（N/S、去重、数据源）
- [ ] 告知/同意文本及记录
- [ ] 境外接收方尽调问卷/报告
- [ ] 合同/法律文件
- [ ] 境外法律环境调查
- [ ] 安全措施证据（配置、测试、日志、认证）
- [ ] 事件应急预案
- [ ] 其他：____________


## 11. 法源与核对日期

核对日期均为 **2026-10-29**。本模板用于内部准备；正式申报/备案时按官方模板扩展。

| 文件 | 本模板使用的条款/内容 | 官方链接 | 核对日期 |
| --- | --- | --- | --- |
| 《促进和规范数据跨境流动规定》答记者问（2024） | 第11问：累计去重、豁免活动排除 | [官方问答](https://www.cac.gov.cn/2024-03/22/c_1712776611649184.htm) | 2026-10-29 |
| 《小型个人信息处理者个人信息保护简化措施规定》 | 第2、8、10、14条：小型口径、平台覆盖、豁免、官方PIA简表 | [官方全文](https://www.cac.gov.cn/2026-07/24/c_1786638889704872.htm) | 2026-10-29 |
| 《个人信息保护法》 | 第13、18条合法基础与告知例外；第28—31条敏感信息；第38—41条出境；第55—56条 PIA 触发、内容、保存3年 | [官方全文](https://www.miit.gov.cn/jgsj/zfs/fl/art/2022/art_515a4b20c12f430eab54bb4f56d89f56.html) | 2026-10-29 |
| 《促进和规范数据跨境流动规定》 | 第5—9条豁免、门槛、3年有效期和延期；第10—11条持续义务 | [官方全文](https://www.cac.gov.cn/2024-03/22/c_1712776611775634.htm) | 2026-10-29 |
| 《数据出境安全评估办法》 | 第5—9条风险自评估、法律文件；第10—14条办理和重新申报 | [官方全文](https://www.cac.gov.cn/2022-07/07/c_1658811536396503.htm) | 2026-10-29 |
| 《数据出境安全评估申报指南（第三版）》 | 风险自评估报告模板、申报前3个月内完成、延期条件 | [发布页](https://www.cac.gov.cn/2025-06/27/c_1752652339765002.htm)（核对到所附全文） | 2026-10-29 |
| 《个人信息出境标准合同办法》 | 第5—8条 PIA、官方合同、备案及变更 | [官方全文](https://www.cac.gov.cn/2023-02/24/c_1678884830036813.htm) | 2026-10-29 |
| 《个人信息出境标准合同备案指南（第二版）》 | PIA 报告模板、备案前3个月内完成 | [发布页](https://www.cac.gov.cn/2024-03/22/c_1712783131692707.htm)（核对到所附全文） | 2026-10-29 |
| 《个人信息出境认证办法》 | 第5—8条适用范围、PIA、申请和证书 | [官方全文](https://www.cac.gov.cn/2025-10/17/c_1762449728720008.htm) | 2026-10-29 |
| 《数据出境安全管理政策法规问答（2026年7月）》 | 第1问同意例外与告知；第3问求职者简历必要性 | [官方问答](https://www.cac.gov.cn/2026-07/24/c_1786638883119336.htm) | 2026-10-29 |

---

# 附：虚构试填例

> 以下公司、人员、数字、系统、事件及业务安排均为**虚构**（国家/地区为真实地名），仅用于演示“发现问题—整改—待补证”的过程，不对应任何真实企业或真实交易。

## A1. 封面

| 项目 | 内容 |
| --- | --- |
| 评估项目 | 云帆协作（虚构）境外客服访问 PIA |
| 评估编号 | PIA-2026-014（虚构） |
| 境内处理者 | 云帆协作科技有限公司（虚构） |
| 业务/产品 | 团队协作与员工福利 SaaS |
| 评估范围 | 马尼拉客服中心远程访问境内工单与福利模块；拟新增美国云备份 |
| 评估人 | 隐私专员（虚构） |
| 复核人 | 法务负责人（虚构） |
| 批准人 | 数据保护负责人（虚构） |
| 版本/日期 | v0.1 / 2026-10-15 |
| 状态 | 初次：待补充；仅演示整改复核，尚未批准出境 |

## A2. 范围与数据流

- 境内系统：CRM、工单系统、福利模块、账号系统。
- 境外接收方：云帆马尼拉客服中心（虚构集团关联方）；拟新增美国云服务商（虚构子处理者）。
- 数据主体：使用福利模块的企业客户及其员工。
- 数据项：姓名、工作邮箱、手机号、订单、工单内容、身份证照片（部分核验）、健康备注（病假/福利申请）、IP 日志。
- 传输方式：公网 VPN 远程登录 + API；美国区域云备份。
- 示例拟设保存期限：工单3年；福利记录2年；云备份180天。这些是模拟参数，须结合处理目的、最短必要原则及适用强制期限逐项论证，不能照抄作通用期限。

**文字描述**：客户在企业后台提交福利申请，部分材料含身份证照片和病假证明。马尼拉客服通过 VPN 登录境内工单系统处理咨询，可查看完整工单和附件。本次拟新增美国云备份，计划每日通过 API 同步工单数据；上线前需完成本 PIA、合同和权限整改。客服不能直接删除客户数据，删除请求由境内团队处理。

## A3. 目的、合法基础、必要性

| 项目 | 内容 |
| --- | --- |
| 目的 | 由低成本时区客服处理福利申请咨询、退换和异常工单 |
| 方式 | 远程访问、API 同步、云备份 |
| 合法基础 | 对本例自主决定目的/方式的工单服务，拟基于个人同意；出境/敏感信息须单独同意。与客户企业的B2B合同仅为业务背景，不直接构成“个人作为一方当事人的合同”基础；受托福利材料按客户合法指令核对角色，不混作本企业HR豁免 |
| 必要性 | 客服需要处理工单，但不需要查看完整身份证照片和全部健康备注；可通过脱敏和分级授权完成 |
| 替代方案 | 境内客服、字段脱敏、仅显示必要摘要、限制下载 |
| 结论 | 目的正当，但初始权限和字段范围超过必要；需整改 |

## A4. 数据与人数

| 数据项 | 类别 | 敏感 | 人数口径 | 人数 | 保存地点/期限 |
| --- | --- | --- | --- | --- | --- |
| 姓名、邮箱、手机号、订单 | 个人信息 | 否 | N | 120,000 | 境内 3 年；美国备份 180 天 |
| 身份证照片 | 特定身份 | 是 | S | 1,800 | 境内 2 年；美国备份 180 天 |
| 健康备注/病假证明 | 医疗健康 | 是 | S | 600 | 境内 2 年；美国备份 180 天 |
| IP 日志 | 个人信息 | 否 | N | 120,000 | 180 天 |

- 表中人数为截至模拟评估日的已出境累计：`N=120,000`，`S=2,400`（身份证1,800 + 健康600，两类敏感人群无交叉；与普通人群另有交叉）。拟新增云备份覆盖同一人群，不增加自然人数；N_plan=120,000、S_plan=2,400。
- 结论：非关基、无重要数据，`N＜1,000,000` 且 `1≤S＜10,000`，进入**标准合同或认证**；低量豁免不成立。

## A5. 境外接收方

| 项目 | 内容 |
| --- | --- |
| 马尼拉客服中心 | 集团关联方，独立处理者（自主决定目的/方式）；可查看工单、附件；初始权限过大 |
| 美国云服务商（拟新增） | 受托处理/子处理者；仅存储备份；合同未列明再提供和删除验证 |
| 安全措施 | VPN、MFA、角色权限、传输加密；日志仅保留30天（本例缺口，须另核验适用日志最低期限） |
| 权利响应 | 客服可登记请求，境内团队 15 个工作日内处理；删除依赖人工 |
| 事件通知 | 合同约定 48 小时通知，但无演练记录 |

## A6. 境外法律环境（待调查示例）

本例只演示调查任务及批准门槛，不预填菲律宾、美国法律内容或保护水平结论，也不暗示已经取得律师意见。

| 调查项 | 当前结果 | 待取得的证据 | 对本次出境的影响 | 结论 |
| --- | --- | --- | --- | --- |
| 菲律宾个人信息保护规则及监管 | 待核实适用法律和义务 | 官方文本、具体条款、适用分析 | 核对告知、安全及投诉要求 | 待补充 |
| 公共机关访问及救济 | 待核实通知、抗辩、救济限制 | 官方文本及当地专业意见 | 判断合同/技术措施能否有效降低风险 | 待补充 |
| 美国云备份及再提供 | 待核实供应商、地点、法律环境 | 子处理者清单、官方文本、专业意见 | 独立调查，不能沿用客服所在地结论 | 待补充 |
| 总体 | 尚无足够证据 | 完整调查与措施有效性证明 | 完成前不得批准新增备份 | 待补充 |

真实项目应逐项记录来源链接、具体条款、核对日期和适用分析，不能照抄“中性/可接受”的结论。

## A7. 风险登记（初始）

| ID | 风险事件 | 影响 | 已有措施 | 有效性证据 | 可能性 | 影响 | 剩余风险 | 整改措施 | 负责人 | 截止日 | 复核结果 |
| --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- |
| R1 | 客服可查看完整身份证照片和全部健康备注 | 敏感信息泄露、超范围处理 | 角色权限 | 权限矩阵（初始） | 高 | 高 | 高 | 字段脱敏；身份证仅显示后四位；健康备注仅显示“是否需补充材料”；按工单分级授权 | 客服运营 | 2026-10-30 | 待复核 |
| R2 | 敏感信息出境未单独同意、告知不完整 | 同意无效、监管风险 | 隐私政策 | 政策文本（初始） | 高 | 高 | 高 | 增加单独同意弹窗；告知境外接收方、目的、方式、种类、权利途径；更新隐私政策 | 隐私 | 2026-11-05 | 待复核 |
| R3 | 美国云备份子处理者未纳入合同 | 再提供失控、删除无保障 | 主合同 | 合同（初始） | 中 | 高 | 高 | 增加子处理者清单、再提供限制、删除/返还、审计条款 | 法务 | 2026-11-10 | 待复核 |
| R4 | 日志仅 30 天，下载/导出无审批 | 事件无法追溯 | 基础日志 | 日志配置 | 中 | 中 | 中 | 日志延长至 180 天；下载/导出审批和水印；季度抽查 | 安全 | 2026-11-10 | 待复核 |
| R5 | 数据保存期限不明确，删除依赖人工 | 超期保存 | 工单流程 | 流程文档 | 中 | 中 | 中 | 设定工单 3 年、福利 2 年、备份 180 天；自动删除任务；季度核对 | 数据治理 | 2026-11-15 | 待复核 |
| R6 | 境外法律环境未完成正式调查 | 政府访问/救济风险 | 初步检索 | 检索记录 | 中 | 高 | 高 | 委托当地律师出具备忘；补充政府访问通知和挑战条款 | 法务 | 2026-11-20 | 待复核 |

**初次结论（模拟2026-10-15）**：待补充，立即暂停存在违法/高风险缺口的相应境外访问，不新增美国云备份；R1—R6及法定出境前提经验证满足后才能批准。业务资源仅可用于整改，不授权继续出境。

## A8. 整改与复核

| 日期 | 整改/证据 | 复核人 | 结果 |
| --- | --- | --- | --- |
| 2026-10-30 | 字段脱敏上线；权限矩阵更新；客服仅见后四位和“是否需补充材料” | 安全 | R1 关闭 |
| 2026-11-05 | 单独同意弹窗上线；隐私政策更新；抽样 20 条记录 | 隐私 | R2 关闭 |
| 2026-11-10 | 子处理者条款签署；再提供/删除/审计条款补齐 | 法务 | R3 关闭 |
| 2026-11-10 | 日志 180 天；导出审批上线；抽查 10 次 | 安全 | R4 关闭 |
| 2026-11-15 | 自动删除任务上线；删除抽样验证 | 数据治理 | R5 关闭 |
| 2026-11-20（模拟复核节点） | 尚无真实菲律宾/美国法律调查材料；仅有加入政府访问通知条款的整改计划 | 法务 | R6仍待补证，合同条款不能替代调查 |

## A9. 最终结论

- 结论：**待补充，暂不批准相应出境**。R1—R5为模拟整改记录，不代表实际完成；R6无可复核的法律环境证据，不能虚构“无不可接受风险”。
- 拟用路径：**标准合同**。只有在法律环境调查、角色及合法基础、必要性、告知同意和技术措施均有证据并复核通过，且官方标准合同生效后，才可批准相应活动；生效后10个工作日内备案。
- 持续条件：
  - 每季度复核访问权限和日志；
  - 每年复核人数；N 接近 1,000,000 或 S 接近 10,000 时提前评估是否转安全评估；
  - 境外法律环境、子处理者、再提供、保存期限变化时重评；
  - 发生数据安全事件立即启动应急并按规定报告。
- 批准不等于行政备案/评估通过；备案材料、合同文本和 PIA 报告要分别归档。

## A10. 这个例子演示了什么

1. 先看 N 不够，还要看 S；`S=2,400` 使低量豁免不成立。
2. “客服能访问”不等于“客服必须看全部字段”；最小化整改能实质降低风险。
3. 境外法律环境不能预填“无风险”；没有调查就写“待补充”，并把它作为批准条件。
4. 关键证据缺失时保持“待补充”；即使其他整改已关闭，也不能跳过调查和出境前提而批准。
5. PIA 批准不等于标准合同备案通过，也不等于安全评估通过；三者是不同动作。