论个人信息保护影响评估——以《个人信息保护法》第55、56条为中心

个人信息保护影响评估属于受强制的自我规制，是一种事前性的合规评估和风险评估程序。作为数据治理重要工具的个人信息保护影响评估，可以检验个人信息处理是否合规，有助于识别并降低个人信息安全风险，有利于减轻或免除个人信息处理责任。当前我国个人信息保护影响评估的适用范围过于宽泛，缺乏必要的限定条件，可能对个人信息处理者带来过大的评估压力，同时极易导致评估流于形式。为了更全面地保护个人信息，国家机关也应履行个人信息保护影响评估义务。应特别重视设计参与程序、复审程序、事先咨询程序、公开程序等评估程序，以保障个人信息保护影响评估的客观性和有效性。个人信息保护影响评估的行为应包括个人信息处理活动和采取的保护措施，评估的影响应包括确定的实际影响和潜在的不确定性影响。