导语

围绕评估义务发生的争议，通常不是从「评估内容对不对」开始的，而是从「报告在不在」开始的。缺失评估本身即构成独立的问题，与处理活动本身是否合规属于两个层面。

本篇从企业与监管、个人两侧梳理推进顺序与动作要点，帮助形成可执行的应对预案。

规则出处与规范指向

《中华人民共和国个人信息保护法》第五十五条（处理敏感个人信息、自动化决策、委托处理与对外提供等情形的事前影响评估）：《个人信息保护法》第五十五条规定：有下列情形之一的，个人信息处理者应当事前进行个人信息保护影响评估，并对处理情况进行记录：（一）处理敏感个人信息；（二）利用个人信息进行自动化决策；（三）委托处理个人信息、向其他个人信息处理者提供个人信息、公开个人信息；（四）向境外提供个人信息；（五）其他对个人权益有重大影响的个人信息处理活动。第五十六条进一步规定，影响评估应当包括处理目的、处理方式等是否合法、正当、必要，对个人权益的影响及安全风险，以及所采取的保护措施是否合法、有效并与风险程度相适应等事项，评估报告和处理情况记录应当至少保存三年。

一、企业与监管一侧的动作顺序

企业侧先把处理活动盘清楚，逐项判断是否落入第五十五条的五类情形，形成「处理活动—是否须评估—评估报告」的对应台账，避免遗漏。

对尚未评估的高风险处理活动，优先安排补做并说明整改安排；对评估结论指向风险偏高的处理活动，同步调整保护措施或收缩处理范围，把评估结论落到实际动作上。

监管在核查中通常从报告的真实性与一致性两个方向入手：一看评估是否覆盖了实际存在的处理活动，二看报告描述与系统实际处理是否吻合。企业按这两个方向准备材料，回应会更从容。

二、个人一侧的主张路径

个人主张处理者未履行评估义务的，可以从处理活动本身切入：先确认自身信息是否被用于自动化决策、是否被对外提供或出境，再要求处理者说明是否完成相应的评估与记录。这一路径与个人信息保护法第四十四条确立的个人对其个人信息处理享有的知情、决定等权利相衔接，个人有权要求处理者就处理规则作出说明。

在围绕未履行义务的争议中，评估报告缺失、记录不完整属于事实较为清晰的情形，举证成本相对较低。与主张信息处理本身违法相比，从义务履行角度切入更容易固定事实。

操作清单

企业侧：先把处理活动盘点清楚，逐项判断是否落入第五十五条的五类情形，形成台账，避免遗漏高风险活动。

企业侧：对尚未评估的高风险处理活动优先补做，同步调整保护措施或收缩处理范围，把评估结论落到实际动作上，而不是停留在纸面。

企业侧：按「评估是否覆盖实际处理活动」与「报告描述与系统实际处理是否吻合」两个方向准备材料，回应核查时更有针对性。

主张方：先确认自身信息是否被用于自动化决策、是否被对外提供或出境，再要求处理者说明是否完成相应评估与记录。

主张方：围绕评估报告缺失、处理情况记录不完整这类事实清晰的情形组织材料，举证成本相对较低。