EDPB《2026年DPIA模板》全文翻译：高风险个人数据处理项目如何完成影响评估

欧洲数据保护委员会于 2026 年 3 月通过新版《数据保护影响评估（DPIA）模板》。这份文件不是原则性概述，而是一套可直接用于高风险处理项目的评估框架，覆盖处理描述、法律依据、最小化、数据主体权利、风险评估、缓解措施和最终决策。本文提供全文翻译，并附企业合规视角下的使用提示。

译者评注

文件概述

昨天给大家展示了一个用Gemini Notebook功能生成了DPIA填写小助手的功能，今天再做一个好人，直接把模版全文翻译送给大家，齐活，开工，可以用起来了。

这份文件不是解释性指南，而是一份可直接用于项目填报和内部审查的 DPIA 模板。其结构从处理活动概览、处理活动描述、合法性分析、必要性与相称性评估，一直延伸到风险评估、缓解计划、利益相关方参与以及最终决策，覆盖了一个高风险个人数据处理项目在启动前应完成的核心论证链条。

模板的关键特征有三点。第一，它要求组织先把处理活动的事实基础说清楚，包括控制者、处理者、处理目的、数据类型、处理阶段、技术架构、跨境传输和第三国接收方等。第二，它要求把 GDPR 合规义务从抽象原则拆解成可记录、可核查的模块，例如法律依据、特殊类别数据的豁免事由、数据最小化、保存期限、数据质量、数据主体权利支持措施、设计和默认保护、处理安全性等。第三，它要求组织把“是否可以做”与“即使可以做，风险是否仍然过高”分开分析，最终形成拒绝、提交监管咨询、批准或附条件批准四类决策结果。

从制度逻辑上看，这份模板体现的是 EDPB 对 DPIA 的标准化治理思路：DPIA 不是单纯的安全文档，也不是法务签字流程，而是将业务、法务、隐私、信息安全、技术架构和治理责任整合到同一套证据框架中的合规工具。对于需要处理敏感数据、大规模数据、自动化决策或系统性监控的项目，这份模板尤其强调前置评估、书面论证和残余风险判断。

企业合规提示

对企业而言，最实际的启示不是“把模板填满”，而是围绕模板背后的证据要求补齐治理能力。

首先，企业应确保 DPIA 触发机制前置到产品设计和项目立项阶段，而不是上线前补文档。模板中大量字段，例如处理目的、最小化理由、替代方案比较、风险来源、缓解措施实施状态，只有在方案设计初期介入，才能形成可信记录。

其次，企业需要把控制者、处理者、分处理者之间的责任边界写清楚。对于使用云服务、算法供应商、外部分析平台或集团内部共享系统的企业，这一部分往往是实际风险最高、也最容易在监管核查中暴露缺陷的环节。

第三，涉及特殊类别个人数据、画像、评分、自动化决策、员工监控、公共空间监控或跨境传输的项目，应把 DPIA 与法律依据分析、转移机制评估、供应商管理、访问控制和审计留痕联动起来。单独完成一份 DPIA 文档，并不能替代合同、制度、技术控制和权限治理。

第四，模板专门要求评估“必要性”和“相称性”。这意味着企业不能只论证项目“有商业价值”，还必须论证是否存在侵扰性更低的替代方案，是否缩小了数据范围、访问范围、保留时间和使用场景，以及项目收益是否足以支撑对数据主体带来的风险。

第五，企业应认真看待结论部分的“咨询”与“有条件批准”。如果在采取附加措施后残余风险仍然较高，继续推进项目可能需要进入更高层级的治理程序，甚至触发与监管机构的事前沟通，而不是由业务部门自行认定“风险可控”。

实务建议

• 将本模板与 RoPA、数据分类分级、供应商清单、跨境传输评估和安全控制基线建立字段映射，避免重复填报。
• 为“计划中/部分实施/已实施”建立统一判定标准，避免项目组自行打标导致审查失真。
• 在每个高风险项目中保留替代方案比选记录，否则“必要性”“相称性”两部分很容易沦为空泛表述。
• 对自动化决策、敏感数据和国际传输项目设置强制法务与隐私复核节点。
• 对残余高风险项目保留升级审批和暂停上线机制，防止 DPIA 成为形式性文件。

【封面图】

使用 media/cover.png

全文翻译

《[2026] 数据保护影响评估（“DPIA”）模板》

版本 1.0

于 2026 年 3 月 10 日通过

版本历史

目录

0 处理活动概览

0.1 控制者

0.2 处理者和分处理者

0.3 处理活动名称

0.4 处理活动规划

0.5 DPIA 技术信息表

1 处理活动的系统性描述

1.1 处理活动的高层描述

1.1.a 已处理的个人数据

1.1.b 处理目的

1.1.c 二次使用或兼容使用

1.1.d 处理活动的性质、范围和背景

1.2 功能描述

1.3 处理方式、支撑资产和底层架构

1.4 遵守经批准的行为准则

2 处理活动分析

2.1 处理活动的合法性

2.1.a 法律依据

2.1.b 解除处理禁止的理由

2.2 数据最小化、保存期限和数据质量

2.2.a 数据最小化和保存期限

2.2.b 数据质量

2.3 支持合规的措施

2.3.a 支持遵守 GDPR 第 5(1)(a-f) 条原则的措施

2.3.b 支持行使数据主体权利的措施

2.3.c 支持遵守 GDPR 其他要求的措施

2.3.d 支持设计和默认情况下的数据保护的措施

2.3.e 支持处理安全性的措施

3 关于必要性与相称性的考量

3.1 处理活动对数据主体权利与自由的影响

3.2 评估处理活动的必要性

3.3 评估处理活动的相称性

4 风险评估与管理

4.1 风险评估与管理

4.1.a 非默认、意外、非法或异常事件对数据主体权利与自由造成的影响

4.1.b 方法

4.1.c 固有风险评估

4.2 行动计划

4.2.a 附加缓解措施

4.2.b 剩余风险评估

4.2.c 计划

5 利益相关方参与

5.1 DPO 意见

5.2 数据主体或其代表的意见

6 结论与决定

欧洲数据保护委员会通过如下模板：

0 处理活动概览

0.1 控制者

注：如存在共同控制者，应为每一名控制者分别填写一张表，并增加一行以标明其义务和任务。

0.2 处理者和分处理者

0.3 处理活动名称

赋予该处理活动的内部名称（处理活动记录中所使用的名称）

当前版本（说明过去如有对该处理活动所作变更的历史）

0.4 处理活动规划

预计启动日期

预计结束日期或失效条件（如适用，例如该处理活动具有临时性）

0.5 DPIA 技术信息表

当前版本和版本日志（说明过去如有对本处理活动 DPIA 模板中所载信息进行变更的历史）

参与开展本次 DPIA 的团队（提供其角色、任务、职责等详细信息）

开展本次 DPIA 所使用的指南、标准、行为准则及其他参考资料¹

开展 DPIA 的原因²

• 新的处理活动，由于高风险而很可能需要进行 DPIA（GDPR 第 35.3 条规定的法律义务）：
  • 基于自动化处理（包括画像）对自然人的个人方面进行系统性和广泛性评估，并据此作出对该自然人产生法律效果或类似重大影响的决定。
  • 大规模处理第 9(1) 条所述特殊类别数据，或第 10 条所述与刑事定罪和犯罪有关的个人数据。
  • 对公共可进入区域进行大规模系统性监控。
• 新的处理活动，由于可能存在高风险而很可能需要进行 DPIA（国内法规定的法律义务）：
  • 说明：__________________________________________
• 新的处理活动，由于可能存在高风险而很可能需要进行 DPIA（依据 EDPB 和国家层面指引）：
  • 评估或评分，包括画像和预测，特别是基于“与数据主体工作表现、经济状况、健康、个人偏好或兴趣、可靠性或行为、位置或活动有关的方面”。
  • 具有法律效果或类似重大影响的自动化决策：旨在对数据主体作出“对该自然人产生法律效果”或“类似地对该自然人产生重大影响”的决定的处理活动。
  • 系统性监控：用于观察、监控或控制数据主体的处理活动，包括通过网络收集数据或“对公共可进入区域进行系统性监控”。
  • 敏感数据或高度私密性质的数据：包括第 9 条界定的特殊类别个人数据（例如有关个人政治观点的信息），以及第 10 条界定的与刑事定罪和犯罪有关的个人数据。
  • 大规模处理的数据，应考虑受影响数据主体人数（作为具体数量或相关人群的比例）、被处理数据的体量和/或不同数据项的范围、数据处理活动的持续时间或长期性，以及处理活动的地理范围。
  • 数据集的匹配或合并。
  • 与脆弱数据主体有关的数据（由于数据主体与数据控制者之间权力不平衡加剧，相关个人可能无法轻易同意、反对其数据处理，或行使其权利）。
  • 创新性使用或采用新的技术或组织解决方案。
  • 当处理活动本身“阻止数据主体行使某项权利或使用某项服务或合同”时。
  • 其他（例如国家关于须进行数据保护影响评估的处理活动清单）：______________________________
• 新的处理活动，进行 DPIA 属于必要或有益：
  • DPO 意见或建议。
  • 数据主体（或其代表）的意见或建议。
  • 依据行为准则、标准、最佳实践等的要求。
  • 其他（例如为了管理风险、证明问责并建立信任）：______________________________
• 既有高风险处理活动，其风险已发生变化：
  • 数据处理发生变化。
  • 处理活动的组织环境或社会环境发生变化。

如何变化？_____________________________________

本次 DPIA 的范围（评估考虑了哪些内容，哪些内容被排除在外，以及原因）

完成日期

正式确认日期（由负责官员确认 DPIA 已完整完成）

DPIA（或其中部分内容）是否拟公开发布或对外共享？

• 否
• 是，拟予发布：如何发布？____________
• 是，拟对外共享：如何共享？______________

1 处理活动的系统性描述

1.1 处理活动的高层描述

1.1.a 已处理的个人数据

如为“是”：

• 揭示种族或族裔出身、政治观点、宗教或哲学信仰、或工会会员身份的数据。
• 遗传数据。
• 为唯一识别自然人目的而处理的生物识别数据。
• 健康数据。
• 与自然人的性生活或性取向有关的数据。

1.1.b 处理目的

1.1.c 二次使用或兼容使用

1.1.d 处理活动的性质、范围和背景

处理活动的性质：个人数据将如何被处理（涉及的操作、所用技术等）。

处理活动的范围：广度和程度（就数据主体人数或数据项数量而言的规模，地理和组织覆盖范围，对数据主体而言的频率或持续时间等）。

处理活动的背景：情境和环境（使用场景、所支持的业务流程、控制者的地位及其与数据主体的关系、数据主体类别和潜在脆弱群体、跨境处理、国际传输等）。

这是否属于跨境处理？

• 否
• 是（理由和细节）：____________

个人数据是否将被传输至第三国或国际组织中的接收方？

• 否
• 是（理由和细节）：____________

1.2 功能描述

注：理想情况下，本表应辅以一个或多个表示数据流的图示或类似图形。

1.3 处理方式、支撑资产和底层架构

1.4 遵守经批准的行为准则

遵守该行为准则很可能属于必要要求（法律义务）。原因：______________________

遵守该行为准则属于必要或有益。原因：__________________

2 处理活动分析

2.1 处理活动的合法性

2.1.a 法律依据

2.1.b 解除处理禁止的理由

2.2 数据最小化、保存期限和数据质量

2.2.a 数据最小化和保存期限

2.2.b 数据质量

2.3 支持合规的措施

2.3.a 支持遵守 GDPR 第 5(1)(a-f) 条原则的措施

2.3.b 支持行使数据主体权利的措施

2.3.c 支持遵守 GDPR 其他要求的措施

2.3.d 支持设计和默认情况下的数据保护的措施

2.3.e 支持处理安全性的措施

3 关于必要性与相称性的考量

3.1 处理活动对数据主体权利与自由的影响

3.2 评估处理活动的必要性[^4]

评估拟议处理是否有效，且对数据主体权利与自由的侵扰是否最小。请提供证据（例如有关不同备选方案的考虑）及理由说明。⁵

3.3 评估处理活动的相称性[^6]

讨论该处理活动的重要性及其对数据主体和整体所可能带来的益处。开展评估，将其对数据主体权利与自由的潜在影响与该处理活动带来的优势进行比较，以确保处理活动具有相称性且实现公平平衡。请提供证据和理由说明。

4 风险评估与管理

4.1 风险评估与管理

4.1.a 非默认、意外、非法或异常事件对数据主体权利与自由造成的影响

注：至少应识别可能导致未经授权访问、不期望的修改以及数据消失的威胁。

4.1.b 方法

说明用于评估和管理风险的方法细节，并提供理解以下内容所需的信息：

• 可能性和严重程度等级及其含义（通常使用 2 至 5 级量表）。
• 风险指标。
• 如何确定风险优先级。
• 风险接受水平。

如采用既有方法，请提供介绍该方法的外部来源链接。⁷

4.1.c 固有风险评估

注：如有需要，可用一个或多个图表、地图、优先级清单等补充本表，从不同角度记录固有风险评估。

4.2 行动计划

4.2.a 附加缓解措施

注：本表应包括所有类型的措施（见第 2.3 节不同类别）。

4.2.b 剩余风险评估

4.2.c 计划

提供为妥善将这些新措施纳入处理活动所需开展的活动信息，以便妥善管理对个人权利与自由的风险，并在处理活动实施后对拟议措施进行监测、审查和更新。

• 具体活动、责任团队、时间表等。
• 外部文档链接或附录细节。

5 利益相关方参与

5.1 DPO 意见

• 如有 DPO（或类似职能），请提供其就拟议处理活动所提出的意见、结论和建议。
• 说明 DPO 的意见如何得到落实。

5.2 数据主体或其代表的意见

• 在适当情况下，提供数据主体（或其代表）就拟议处理活动提出的意见、结论和建议。
• 说明其参与 DPIA 过程的情况，包括为何认为其参与并不适当，或为何无法使其参与的原因。

6 结论与决定

基于对风险和权利的评估，作出以下决定：

• 拒绝：必须放弃该处理活动。
• 咨询：该处理活动将提交监管机构（SA）咨询（见 6.2）。
  • 是，数据控制者无法找到足以将风险降低至可接受水平的措施（即剩余风险仍然较高），且不希望放弃该处理活动。
  • 是，成员国法律要求控制者就其为履行公共利益任务而开展的处理活动向监管机构进行咨询和/或取得事前授权，包括与社会保护和公共卫生相关的处理活动（GDPR 第 36(5) 条）。
• 批准：该处理活动可[立即]开展。剩余风险处于可接受水平，且不存在要求向监管机构咨询或取得其事前授权的国内法律（GDPR 第 36(5) 条）。
• 有条件批准：仅在满足下列条件后，该处理活动方可开展：
  • 条件 1：__________________________________________________
  • 条件 2：__________________________________________________

可选：对所作决定进行说明：

欧洲数据保护委员会

主席

Anu Talus

¹: 《数据保护影响评估（DPIA）指南》（wp248rev.01），https://ec.europa.eu/newsroom/just/document.cfm?doc_id=47711

²: 同上。

³: EDPB《基于 GDPR 第 6(1)(f) 条处理个人数据指南 1/2024》：https://www.edpb.europa.eu/system/files/2024-10/edpb_guidelines_202401_legitimateinterest_en.pdf

⁴: EDPS《评估限制个人数据保护这一基本权利之措施必要性：工具包》，https://www.edps.europa.eu/sites/default/files/publication/17-04-11_necessity_toolkit_en_0.pdf

⁵: EDPB《基于 GDPR 第 6(1)(f) 条处理个人数据指南 1/2024》第二部分 B 节第 29 段，https://www.edpb.europa.eu/system/files/2024-10/edpb_guidelines_202401_legitimateinterest_en.pdf；另见 EDPB《第 11/2024 号意见：使用面部识别优化机场旅客流动（与 GDPR 第 5(1)(e)、5(1)(f)、25 和 32 条的相容性，1.1 版，2024 年 5 月 23 日通过）》第 32 段，https://www.edpb.europa.eu/system/files/2024-05/edpb_opinion_202411_facialrecognitionairports_en.pdf

⁶: EDPS《评估限制隐私权和数据保护权之措施相称性的指南》，https://www.edps.europa.eu/sites/default/files/publication/19-02-25_proportionality_guidelines_en.pdf；另见 EDPB《第 11/2024 号意见：使用面部识别优化机场旅客流动（与 GDPR 第 5(1)(e)、5(1)(f)、25 和 32 条的相容性，1.1 版，2024 年 5 月 23 日通过）》第 32 段，https://www.edpb.europa.eu/system/files/2024-05/edpb_opinion_202411_facialrecognitionairports_en.pdf

⁷: 例如，可参见说明文件附件中列出的文件。

⁸: 在数据保护领域，即使某项风险发生的可能性较低，只要其潜在影响的严重程度极高，该风险仍可能被视为不可接受。这意味着，只要对数据主体造成的后果可能极其严重，无论该事件预期发生得多么罕见，该风险都可能被认定为不可接受。

⁹: 同上。

说明：本文件为公众号渲染试稿，建议在浏览器中打开后复制渲染结果，再粘贴到公众号编辑器。