个人信息保护影响评估（DPIA）报告全套模板 中文版 适配《个人信息保护法》

个人信息保护影响评估（DPIA）报告全套模板中文版适配《个人信息保护法》版本信息版本号：V1.0发布日期：2026年06月26日生效日期：2026年07月01日适配法规：《中华人民共和国个人信息保护法》《数据安全法》《网络安全法》、个人信息保护合规审计管理办法、网络安全等级保护相关标准文档用途：用于企业事前个人信息保护影响评估、合规自查、监管核查、项目上线前置审核、个人信息处理活动风险管控，覆盖法定必评全场景，实现评估标准化、风险闭环化、合规留痕化适用范围：全行业企业、事业单位、社会组织等所有个人信息处理者，适配敏感个人信息处理、自动化决策、个人信息委托/提供/公开、跨境提供等高风险场景审批权限：数据安全负责人/合规负责人/最高管理者修订历史版本号修订日期修订内容修订人审批人V1.02026-06-26首次完整版发布，完全适配《个人信息保护法》第五十五条法定评估场景，覆盖评估策划、信息梳理、风险识别、分级研判、整改闭环、报告输出、归档复盘全流程，含全套配套表单模板数据合规部目录1.评估总则（合规依据、评估场景、评估原则）

2.评估组织与实施流程

3.模板1：DPIA评估立项申请表

4.模板2：个人信息处理活动全景梳理表

5.模板3：个人信息风险识别与影响分析表

6.模板4：风险等级判定与合规校验表

7.模板5：风险整改与闭环处置单

8.模板6：个人信息保护影响评估正式报告

9.模板7：DPIA评估台账与持续改进记录表

10.法定必评场景与合规避坑指南

11.评估归档与常态化合规要求1.评估总则1.1编制目的为严格落实《中华人民共和国个人信息保护法》法定评估要求，规范企业个人信息保护影响评估（DPIA）全流程实施，系统性识别个人信息处理活动中的合规风险、安全风险、权益侵害风险，量化风险等级、落实整改措施、建立长效管控机制。杜绝无评估上线、高风险未管控、风险整改流于形式等合规问题，保障个人信息处理活动合法、正当、必要、诚信，充分保护自然人个人信息权益，满足监管核查、合规审计、业务存续运营的核心需求，实现个人信息处理全生命周期风险可控、合规闭环。1.2法定评估场景（必评）依据《个人信息保护法》第五十五条，企业开展以下个人信息处理活动，必须事前开展DPIA评估并留存记录，无评估记录视为合规违规：处理生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等敏感个人信息的活动；利用个人信息开展用户画像、精准推送、自动评分、资质判定等自动化决策活动；委托第三方处理个人信息、向合作方提供个人信息、对外公开个人信息的处理活动；向境外机构、境外服务器传输、提供、存储个人信息的个人信息出境活动；大规模、高频次、广范围处理个人信息，或其他对个人权益有重大影响的处理活动。1.3评估依据《中华人民共和国个人信息保护法》（核心依据）《中华人民共和国数据安全法》《中华人民共和国网络安全法》《个人信息保护合规审计管理办法》《网络安全等级保护2.0标准体系》《个人信息出境认证办法》《人脸识别技术应用安全管理办法》（涉生物识别信息专项依据）国家网信办、工信部、公安部相关个人信息合规监管规范企业内部数据安全管理制度、个人信息保护管理规范1.4评估原则事前评估、全程覆盖：所有法定必评场景必须在业务上线、流程落地、数据流转前完成评估，覆盖个人信息收集、存储、使用、加工、传输、提供、公开、删除全生命周期。客观公正、真实可溯：风险识别、等级判定、影响分析均以客观事实、实际业务场景为依据，杜绝主观臆断、虚假评估，所有评估资料全程留痕、可追溯、可核查。风险适配、分级管控：根据风险概率、影响范围、危害程度划分风险等级，匹配差异化管控与整改措施，高风险重点整改、全程督办。闭环管理、持续改进：实现“评估-识别-判定-整改-验证-复盘”全闭环，业务变更、法规更新、风险变化时及时复评优化。合规适配、贴合业务：兼顾法定合规要求与企业业务实际，避免过度管控、形式化评估，实现合规与业务协同。2.评估组织与实施流程本模板严格遵循PDCA闭环管理原则，标准化DPIA全流程实施步骤，所有环节均需留存纸质+电子归档资料，满足监管核查要求。2.1策划立项（Plan）业务部门发起评估申请，明确评估场景、业务范围、个人信息处理类型；合规/数据安全部门审核立项，组建专项评估小组，明确评估周期、评估重点、人员分工，制定本次DPIA评估实施方案，报数据安全负责人审批后启动评估。常规评估周期不超过15个工作日，重大高风险场景可申请最长15个工作日延期。2.2调研梳理（Do）评估小组全面梳理业务场景、个人信息流转链路、数据类型、处理目的与方式、第三方合作情况、存储期限、防护措施等核心信息，完成个人信息处理活动全景摸排，精准识别合规漏洞、安全风险、权益侵害隐患，完整记录调研证据。2.3风险研判（Check）结合法律法规要求与业务实际，从合规合法性、个人权益影响、数据安全风险、监管处罚风险四个维度开展风险分析，判定风险等级（高/中/低），明确风险成因、影响范围、危害后果，梳理未达标项与合规短板。2.4整改闭环（Act）针对各类风险制定专项整改措施、明确责任部门、整改时限、验证标准，完成问题整改与防护优化；整改完成后开展有效性验证，确认风险消除或可控；编制正式DPIA评估报告，梳理持续改进计划，纳入常态化合规管控。2.5复盘归档（Review）定期对DPIA评估结果、整改落地情况、风险管控效果进行复盘，业务场景变更、法规更新、发生数据安全事件时及时启动复评；全套评估资料统一归档留存，留存周期不少于3年。3.模板1：DPIA评估立项申请表个人信息保护影响评估立项申请表立项编号DPIA-LX-202X-XXX申请日期202X年X月X日申请部门业务负责人评估类型□敏感个人信息处理□个人信息自动化决策□委托/提供/公开个人信息□个人信息跨境提供□重大影响类处理活动□业务变更复评□年度常态化复评业务场景概述详细说明本次涉及个人信息处理的业务功能、应用场景、服务对象、上线/变更时间、业务核心流程等信息。涉及个人信息类型□一般个人信息（姓名、手机号、住址等）□敏感个人信息（生物识别、医疗、金融、行踪轨迹等）□未成年人个人信息□其他特殊个人信息评估必要性说明依据《个人信息保护法》对应条款，说明本次评估的法定依据、合规必要性、风险防控必要性，明确不开展评估的合规风险与业务风险。预估评估周期自XXXX年XX月XX日至XXXX年XX月XX日评估组长评估组员合规部、技术部、业务部、运维部等相关人员名单及分工部门申请意见签字：__________日期：__________合规部审批意见签字：__________日期：__________管理者审批意见签字：__________日期：__________4.模板2：个人信息处理活动全景梳理表个人信息处理全生命周期梳理台账使用说明：全面摸排业务场景下所有个人信息流转环节，无遗漏梳理，为风险识别提供客观依据，禁止空白填报、笼统填报。序号数据类别信息细分项信息属性收集目的收集方式存储方式/期限使用加工范围对外流转情况出境情况现有防护措施1基础信息□一般□敏感□主动收集□被动获取□无□委托处理□对外提供□公开□是□否2身份信息□一般□敏感□主动收集□被动获取□无□委托处理□对外提供□公开□是□否3生物识别信息□一般□敏感□主动收集□被动获取□无□委托处理□对外提供□公开□是□否4金融/医疗信息□一般□敏感□主动收集□被动获取□无□委托处理□对外提供□公开□是□否5其他信息□一般□敏感□主动收集□被动获取□无□委托处理□对外提供□公开□是□否梳理人：__________审核人：__________日期：__________5.模板3：个人信息风险识别与影响分析表DPIA风险识别、权益影响与安全隐患分析表使用说明：从合规合法性、个人权益、数据安全、监管风险四大维度识别隐患，客观分析风险成因与危害后果，杜绝空项、虚项。序号风险场景/问题描述对应个人信息类型风险维度风险成因分析个人权益影响安全/合规危害后果现有管控短板1□合规□权益□安全□监管从制度、流程、技术、人员、管控维度深挖根本成因说明是否侵害知情权、同意权、删除权、隐私权益等明确泄露、篡改、滥用、处罚、舆情等危害2□合规□权益□安全□监管3□合规□权益□安全□监管评估人：__________复核人：__________日期：__________6.模板4：风险等级判定与合规校验表风险等级量化判定及合规符合性校验表一、风险等级判定标准高风险：可能造成大规模个人信息泄露、严重侵害个人权益、引发监管处罚、重大舆情事件、违法违规的处理活动；涉及大规模敏感个人信息、未成年人信息、跨境传输等高风险场景。中风险：存在合规瑕疵、防护措施不完善，可能造成局部信息泄露、轻微权益侵害，可通过整改快速闭环，无重大监管风险。低风险：流程基本合规、防护措施到位，仅存在细节优化问题，无实质性安全隐患与权益侵害风险。二、风险判定与合规校验表单序号风险问题编号/名称风险概率影响程度综合风险等级对应法规条款校验合规符合性结论管控优先级1□高□中□低□高□中□低□高□中□低列明《个人信息保护法》具体条款□合规□部分不合规□不合规□紧急□优先□常规2□高□中□低□高□中□低□高□中□低□合规□部分不合规□不合规□紧急□优先□常规判定人：__________合规复核：__________日期：__________7.模板5：风险整改与闭环处置单DPIA风险整改、验证与闭环处置单使用说明：针对所有不合规风险、隐患问题制定整改方案，区分即时整改与长效预防，必须落实根本整改、留存验证证据，杜绝形式化整改。整改单号DPIA-ZG-202X-XXX对应风险编号风险等级□高风险□中风险□低风险责任部门/责任人整改截止日期202X年X月X日督办部门合规部/数据安全部一、问题概述与根本原因详细描述风险问题、违规事实，从制度漏洞、流程缺失、技术防护不足、人员意识薄弱、监督缺位等维度深挖根本原因，禁止仅描述表面问题。二、即时整改措施（消险）针对当前风险制定即时处置措施，立即消除现有不合规状态、安全隐患，明确具体执行动作、完成标准，附整改证据（截图、文件、记录、公示凭证等）。三、长效预防措施（防复发）优化管理制度、业务流程、技术防护策略、人员培训、监督核查机制，建立常态化管控手段，杜绝同类风险重复发生。四、整改完成情况说明详细说明整改落地进度、措施执行情况、风险消除效果、遗留问题说明。五、验证结论□整改合格，风险完全闭环，合规达标

□整改基本合格，剩余低风险持续管控

□整改不合格，需重新限期整改

验证说明：__________验证人签字__________闭环日期__________8.模板6：个人信息保护影响评估正式报告（最终版）个人信息保护影响评估（DPIA）正式报告报告编号：DPIA-BG-202X-XXX

评估场景：XXXXXXXX业务个人信息处理活动评估周期：202X年X月X日-202X年X月X日

评估单位/部门：XXXXXXXX

编制人：__________

审核人：__________

审批人：__________

报告日期：202X年X月X日一、评估声明本报告依据《中华人民共和国个人信息保护法》《数据安全法》等相关法律法规及行业标准编制。本次评估遵循客观、公正、全面、真实的原则，通过现场核查、资料审核、流程梳理、风险研判等方式开展全维度评估，完整覆盖本次业务个人信息处理全生命周期活动。本报告评估结果真实有效，可作为企业个人信息合规管控、业务上线运行、监管核查、合规审计的法定依据，未经评估小组许可，不得随意篡改、删减内容。二、评估概述1.评估背景：说明本次评估触发原因（新业务上线、敏感信息处理、自动化决策、数据出境、业务变更、年度复评等）。

2.评估目的：全面排查本次个人信息处理活动的合规风险、安全风险、权益侵害风险，验证处理活动的合法性、正当性、必要性，完善防护管控措施，保障自然人个人信息权益，满足法定评估义务与合规运营要求。

3.评估范围：覆盖本次业务涉及的个人信息收集、存储、使用、加工、传输、提供、公开、删除全流程，涵盖所有相关部门、业务系统、第三方合作流转场景。

4.评估方式：资料审阅+业务调研+现场核查+技术核验+风险量化研判+合规条款比对。三、个人信息处理活动基本情况1.业务场景简介：详细说明业务功能、服务模式、用户群体、运营范围。

2.个人信息处理清单：列明涉及的一般信息、敏感信息具体类别、处理规模、流转范围。

3.核心处理规则：明确处理目的、处理方式、存储期限、对外共享、跨境传输、自动化决策应用情况。

4.现有保护措施：梳理制度管控、技术防护、人员管理、应急处置、权限管控等现有防护体系。四、合规性校验结果对照《个人信息保护法》核心条款，逐项校验告知同意、最小必要、目的限制、存储限制、个人权利保障、安全防护、第三方管控、出境合规等核心要求，明确整体合规情况，列明不合规项、瑕疵项、合规达标项。五、风险识别与等级判定汇总1.高风险问题：列明问题数量、具体问题、风险危害、影响范围。

2.中风险问题：列明问题数量、具体问题、管控短板。

3.低风险问题：列明细节优化问题、改进方向。

4.整体风险态势：总结本次评估整体风险等级、风险分布、核心风险点。六、风险整改与闭环情况汇总所有风险问题的整改措施、整改完成情况、验证结果、闭环状态；说明未完成整改问题的阶段性管控方案、后续整改计划、风险缓释措施。七、个人权益影响综合评估综合研判本次个人信息处理活动对自然人知情权、选择权、删除权、更正权、隐私权益等合法权益的影响，明确是否存在不合理侵害、过度收集滥用、权益保障缺失等问题，说明当前权益保障机制的有效性。八、持续改进建议1.制度优化：完善个人信息处理、权限管控、第三方管理、应急处置等制度流程；

2.技术升级：强化数据加密、脱敏、访问审计、泄露防护、权限最小化管控；

3.人员管控：常态化开展个人信息保护合规培训、岗位考核、意识宣贯；

4.常态化管控：建立业务变更前置评估、季度风险抽查、年度全面复评机制；

5.专项优化：针对本次高风险、高频问题制定专项长效管控方案。九、最终评估结论经全面评估与风险整改验证，本次XXXXXXXX业务个人信息处理活动：

□整体合规、风险可控：无高风险隐患，中低风险问题已全部闭环整改，个人权益保障到位，符合《个人信息保护法》合规要求，可正常开展业务运营。

□条件合规、限期优化：整体基本合规，存在部分低风险瑕疵，已制定长效改进计划，在完成优化升级后可持续运营。

□存在重大风险、暂不合规：存在高风险合规隐患，未完成整改前，禁止开展相关个人信息处理活动，整改复评合格后方可上线运行。评估组长签字：__________

合规负责人签字：__________

单位盖章：__________

日期：__________9.模板7：DPIA评估台账与持续改进记录表个人信息保护影响评估全量台账（年度复盘专用）序号评估编号评估场景/业务评估类型评估日期整体风险等级问题总数闭环数量未闭环问题复评周期备注1台账维护人：__________更新周期：每月更新、年度全面复盘10.法定合规避坑指南（核心要点）10.1强制评估红线（严禁遗漏）严格落实《个人信息保护法》第五十五条法定要求，五大场景必须事前评估、留存完整记录，无评估记录、事后补评估均属于合规违规，将面临监管约谈、整改处罚、业务受限等风险。尤其重点关注人脸识别等生物识别、用户画像自动化决策、个人信息跨境传输、未成年人信息处理等高监管重点场景。10.2常见评估违规问题规避禁止形式化评估：杜绝照搬模板、无实际风险识别、无真实整改、无证据留存的虚假评估；禁止遗漏敏感信息：生物识别、医疗、金融、行踪轨迹等敏感信息必须专项重点评估；禁止风险判定宽松化：不得刻意降低风险等级、隐瞒安