根据GDPR第35条，每当处理活动可能对自然人的权利和自由造成高风险时，即须进行数据保护影响评估（DPIA）。第29条工作组（现为EDPB）列出了九项标准——当其中两项或更多适用时，即应进行DPIA。

一份经得起检验的DPIA包含五个阶段：描述处理活动、评估必要性与相称性、识别风险、识别缓解措施，然后正式签署批准并安排复审。ICO方法论与EDPB指南在这一结构上高度一致。

若做得好，DPIA是一项塑造产品的成果——而非一项合规仪式。它能及早暴露风险，并迫使就数据最小化、保留和访问作出抉择。最优秀的DPIA在编写第一行代码之前即已完成。

第35条第(1)款要求在处理活动"可能造成高风险"时进行DPIA。第35条第(3)款列出了三种强制性情形：

1. 基于自动化处理（包括画像）对个人方面进行系统而广泛的评估，且该评估产生法律效力或类似的重大影响。
2. 大规模处理特殊类别数据（第9条）或刑事定罪数据（第10条）。
3. 大规模系统地监测公众可进入的区域。

大多数监管机构会公布国家清单（第35条第(4)款），列出始终需要进行DPIA的其他处理活动。请查阅您主导监管机构以及您所处理其成员国居民的任何监管机构的清单。

在情形不明确时，运行九项标准测试。两项或更多 = 需要DPIA。

1. 评价或评分——画像、行为分析。
2. 具有法律或类似重大影响的自动化决策。
3. 系统性监测——对公共区域的观察、员工监控、网络追踪。
4. 敏感或高度个人化的数据——特殊类别、刑事数据，以及金融、位置、电子通信数据。
5. 大规模处理的数据。
6. 匹配或合并数据集——包括来自不同控制者或用于不同目的的数据集。
7. 涉及弱势数据主体的数据——儿童、雇员、精神疾病患者、寻求庇护者。
8. 创新性使用或采用新的技术或组织解决方案——人工智能、生物识别、物联网。
9. 阻止数据主体行使权利或使用某项服务/合同。

任何 DPIA 的基础都是对您实际如何处理数据的精确描述。需记录:

• 性质——个人数据的类别、来源、接收方、保留期限、技术安全措施、跨境传输。
• 范围——数据量、数据主体数量、地理和时间范围。
• 背景——与数据主体关系的性质、其拥有的控制权、背景的敏感性（工作场所、健康）。
• 目的——您试图实现的目标、预期成果、商业价值。

将此与数据流图相配合。自由文本描述会遗漏数据流图能够捕捉到的内容。

• 合法依据——第 6(1)(a)–(f) 条。如属特殊类别，还需满足第 9(2) 条的条件。
• 已考虑的侵入性较低的替代方案——您能否以更少的数据、匿名化数据、聚合数据或更短的保留期限实现目的？
• 目的限制——每个数据类别是否真正支持所声明的目的？
• 数据最小化——明确列出字段清单，并为每个字段提供书面理由。
• 质量与准确性——有哪些机制使数据保持最新？
• 保留与删除——确切的期限，并附法律/业务理由。
• 信息与权利——您如何告知数据主体，他们又如何行使权利？

对于每项可识别的风险，请记录：

• 风险描述（清晰、通俗的语言）。
• 风险来源。
• 威胁实现的可能性（低/中/高）。
• 对数据主体造成损害的严重程度（低/中/高）。
• 整体风险评分。

需要常规涵盖的威胁类型：未经授权的访问（内部人员、外部攻击者）、篡改（完整性丧失）、丢失（销毁、不可用）、歧视、身份盗用、经济损失、声誉损害、保密性丧失、对数据的控制权丧失、假名化数据的重新识别。

对于每项风险，确定计划的处置方式：

• 接受——剩余风险可接受。记录原因以及批准人。
• 降低——所采取的控制措施（加密、访问管理、培训、缩短保留期限）。
• 规避——更改处理方式以消除风险（改用匿名化数据、放弃某项功能）。
• 转移——合同性分配（对主要风险而言罕见；对通过保险或供应商条款转移的剩余责任而言常见）。

在计划的控制措施实施后重新评估剩余风险。如果剩余风险仍为高，您必须在处理开始前咨询监管机构（第 36 条）。

• DPO 意见（第 35(2) 条）——必须咨询 DPO；控制者可以背离该意见，但必须记录理由。
• 利益相关方咨询——第 35(9) 条建议在适当情况下咨询数据主体或其代表。
• 签署权限——通常为数据控制者的高级问责人员（对于企业关键性处理活动，为 CISO、COO 或 CEO）。
• 发布——GDPR 并不要求，但 ICO 及许多监管机构建议发布经编修的 DPIA 摘要作为信任信号。
• 审查周期——第 35(11) 条要求在处理操作所代表的风险发生变化时进行审查。至少每年安排一次日程审查。

当在采取缓解措施后，对权利与自由的剩余风险仍为高时，须根据第 36 条进行事先咨询。

监管机构接收：

• DPIA 本身。
• 控制者以及任何共同控制者/处理者的职责。
• 拟议处理的目的和手段。
• 措施和保障。
• DPO 的联系方式。
• 监管机构要求的任何其他信息。

监管机构回复期限：8 周（对于复杂案件可延长 6 周）。在此期间未经授权不得开始处理。

情景：一家物流公司计划在德国和西班牙的 12 个场所为 4,500 名仓库工人引入基于人脸识别的打卡上下班系统。

门槛测试：敏感数据（用于识别的第 9 条生物识别数据）+ 大规模 + 弱势主体（雇员）+ 创新性使用 = 明确属于 DPIA 范畴。德国和西班牙的监管机构清单也将工作场所的生物识别身份认证列为强制性 DPIA。

描述（阶段 1）：在场所入口处由前置摄像头提取人脸模板；与存储在各场所设备上的已注册模板进行匹配；匹配结果连同时间戳和工人 ID 一并记录；生物识别模板在雇佣期间 + 30 天内保留；匹配日志保留 3 年。

必要性（阶段 2）：合法依据为第 6(1)(b) 条雇佣合同 + 第 9(2)(b) 条劳动法义务（德国）以及明示同意（西班牙，需经职工委员会共同决定）。已考虑的替代方案：PIN 卡刷卡（被否决——代打卡）、NFC 工牌（被否决——同样问题）、指纹（被否决——卫生问题）。论证了人脸模板相较于替代方案的必要性。

风险（阶段 3）：(a) 生物识别模板的集中化为入侵创造了诱饵。(b) 错误的不匹配导致工资扣减。(c) 功能蔓延——打卡数据被用于绩效评估。(d) 雇员胁迫：拒绝生物识别采集会被强制退出而进入更差的条件。

处置（阶段 4）：(a) 各场所本地设备；模板以 HSM 管理的密钥加密；无云端副本。(b) 针对不匹配的人工覆盖流程；薪资部门不得仅基于打卡失败进行扣减。(c) 合同禁止 + 打卡数据与 HR 绩效系统之间的技术隔离。(d) 真实的退出途径（工牌备用方案）且无不利后果，已在职工委员会协议中记录。

签署：已获取 DPO 意见——建议在雇佣结束后 7 天删除人脸模板，而非 30 天。控制者已接受。已获得职工委员会共同决定。剩余风险：中低。无需咨询监管机构。

• 跳过门槛测试。过早完成了 DPIA；后来才意识到并不需要。反之（未做，而执法发现需要做）则要糟糕得多。
• 将必要性视为走形式。“已考虑的侵入性较低的替代方案”是监管者阅读最仔细的部分。象征性的提及无法通过审计。
• 风险责任人不明确。没有指定问责人的风险往往得不到处置。
• 遗漏数据主体咨询步骤。在适当情况下（雇员、庞大的用户群），第 35(9) 条的咨询会增强可辩护性。
• 未对剩余风险重新评分。如果您在处置后不重新评分，便无法证明是否触发了第 36 条。
• 将 DPIA 视为一次性产物。实质性变更（新的数据类别、新的处理者、新的司法管辖区、新的目的）会重新触发评估。
• 让工程团队自行完成 DPIA。第 35(2) 条要求隐私专业人员参与。缺少这一点，评估便缺乏法律依据。