数字金融的深度发展，让个人信息成了金融机构的核心生产要素和战略资源。但与此同时，个人信息泄露、滥用、算法歧视等情况时有出现，个人信息保护也日益成为金融监管的重点关切。

今天我们从数据处理活动本身出发，拆解金融机构最容易漏掉的四类隐性风险，帮大家把个人信息保护影响评估（PIA：Personal Information Protection Impact Assessment） 真正做到实质合规。

一、PIA 风险源的理论内涵与认知误区

1.1 PIA 风险源的定义与分类

参考 GB/T 39335-2020《个人信息安全影响评估指南》的风险评估框架，个人信息安全风险的形成离不开两个核心要素——威胁源与脆弱性：

威胁源：可能造成危害的主体或事件，不仅包括外部黑客、内部员工，还包括第三方合作伙伴、技术系统，甚至业务设计本身；

脆弱性：让威胁有机可乘的弱点，除了技术漏洞，还包括制度缺位、告知同意不完整、合同条款缺失等。

也就是说，风险的本质就是威胁源利用脆弱性，损害个人信息权益的可能性和后果的组合。

当前 PIA 实践最大的“坑”，就是把 “风险源” 和 “信息安全漏洞” 画等号。这直接导致评估范围窄化，评估人员只盯着系统技术缺陷，却放过了业务流程、第三方合作、算法逻辑、数据生命周期管理这些非技术层面的风险。

二、金融机构 PIA 中四类核心隐性风险源分析

2.1 第三方SDK：委托处理边界模糊下的责任转嫁风险

风险形成机理

开发团队普遍存在一种错误认识，认为“SDK 由第三方提供，合规应当由第三方承担”，将责任完全外推；而业务和合规团队又缺乏相应的技术手段，难以核实 SDK 实际采集和传输了哪些数据。这种 “技术和合规各管各” 的状态，让第三方 SDK 成为个人信息泄露和滥用问题较为集中的环节。

法律边界与典型危害

《个人信息保护法》第 21 条明确要求，委托人必须监督受托人的数据处理活动；第 23 条规定，向其他处理者提供个人信息，必须单独告知用户并取得单独同意。

实践中，第三方 SDK 在数据处理方面存在一些不规范的情形：例如，在用户仅授权了推送功能的情况下，却超出授权范围采集设备标识符、位置信息、行为轨迹；未经同意将数据用于跨应用用户画像；数据回传不加密等。这些行为不光违反了告知同意和最小必要原则，作为数据处理者的金融机构，可能因此面临相应的法律责任。

案例介绍

某城商行手机银行集成了三家厂商的 SDK，分别做消息推送、行为分析和反欺诈。第一次做 PIA 的时候，银行合规团队只把 “委外催收” 和 “征信查询” 列为第三方共享场景，完全没把 SDK 当回事。

结果监管检查发现，相关推送 SDK 会在用户授权通知权限后，将设备号和手机号回传至厂商服务器，用于建立跨应用的用户唯一标识。这明显超出了“消息推送”的处理目的，而银行既没在隐私政策里告知用户，也未就此取得单独同意。最终该行被责令整改并罚款。

PIA 识别要点

1. 全面梳理所有系统和应用的 SDK 清单，明确厂商、版本和具体用途；

2. 逐一核对每个 SDK 采集的信息字段，验证是否符合最小必要原则和法律依据；

3. 检查隐私政策是否明确告知用户 SDK 的存在、数据处理的目的和范围，敏感信息是否取得单独同意；

4. 审查与 SDK 厂商的委托协议，是否明确约定数据安全责任、处理期限和销毁要求；

5. 建立 SDK 版本更新审计机制，定期核查新版本是否新增数据采集或变更处理目的。

2.2 自动化决策：算法黑箱下的权益侵害风险

风险形成机理

现在信贷审批、额度授予、风险定价、反欺诈等核心金融业务，已广泛依赖自动化决策。但算法的“黑箱”特性，加上金融机构内部 “技术与合规相对分离” 的治理结构，也可能积聚一定风险隐患。

法律边界与典型危害

《个人信息保护法》第 24 条专门对自动化决策做了规定：必须保证决策透明、结果公平，不能实行不合理的差别待遇；对个人权益有重大影响的决策，用户有权要求说明，也有权拒绝仅通过自动化决策作出决定。

案例介绍

某消费金融公司构建了一套智能贷款额度评估模型，该模型使用了征信数据、App 行为数据，以及从数据中间商处获取的 “消费意愿评分”。在进行 PIA 时，该公司合规团队仅在评估记录中注明“存在模型歧视风险，已通过内部测试验证准确率”，并未进一步开展实质性的合规评估。

后经调查发现，该“消费意愿评分”的原始数据来自多个互联网平台，其授权链难以清晰追溯，数据来源合法性存在疑问。此外，该模型未开展公平性测试，并借助“户籍所在地”变量间接导致特定地区用户获得较低额度，构成不合理差别待遇。更严重的是，该公司既未在隐私政策里向用户告知自动化决策的应用情况，也未给被拒贷的用户提供人工复核渠道。

PIA 识别要点

1. 全面梳理模型使用的所有个人信息类别，逐一核查收集授权的来源和合法性；

2. 审查第三方数据标签或评分的授权链是否完整可追溯；

3. 评估模型透明度，检查能否向用户清晰解释决策的依据和逻辑；

4. 确认模型是否做过专门的公平性测试，是否存在对特定群体的系统性偏差；

5.检查是否为重大决策提供了人工复核渠道，以及用户拒绝自动化决策的权利如何实现；

6.验证隐私政策是否明确告知用户自动化决策的应用场景、处理目的和对个人权益的影响。

2.3 运营推广活动：短期行为下的合规失控风险

风险形成机理

运营推广活动上线时间紧，有时未及完成合规评估就仓促上线。不少机构仍持有一种认识，认为“临时活动不是常态化数据处理，无需开展PIA”，这种认知容易使运营推广成合规风险相对多发的环节。

法律边界与典型危害

营销类数据处理必须严格遵守告知同意和最小必要原则。《个人信息保护法》第 6 条要求，处理个人信息必须有明确合理的目的，且与目的直接相关，采取对个人权益影响最小的方式；第 14 条规定，同意必须是用户在充分知情的前提下自愿、明确作出的。

运营活动中常见的违规行为包括：收集与活动无关的个人信息、把活动收集的数据挪去做后续精准营销、联合活动中数据共享不规范、活动结束后不及时删除数据。

案例介绍

某股份制银行信用卡中心在 2025年“618”期间，与某大型电商平台联合开展“刷卡得积分”活动。用户在电商平台报名时，需提供姓名、身份证号、银行卡号、手机号和收货地址等信息。该活动事前未进行PIA，数据共享条款亦由该行业务部门自行拟定。

后续合规审计发现，收货地址和积分发放并无直接关联，属于典型的超范围收集；双方协议虽然约定“数据仅用于本次活动”，但该电商平台将此批用户数据并入通用用户画像库，用于后续精准广告推送；同时该银行的隐私政策未做相应更新，未将该电商列为数据共享对象。最终该银行收到大量用户投诉，并接受监管部门约谈。

PIA 识别要点

1. 逐一核对活动表单里的每个信息字段，验证是否与活动目的直接相关；

2. 明确活动数据的留存期限和处理方式，禁止活动结束后将数据留存进通用用户库；

3. 梳理所有联合主办方和合作方，明确各方的数据访问权限和处理责任，审查数据共享是否取得用户同意；

4. 验证用户同意的范围是否覆盖所有数据处理行为，包括数据共享和后续使用；

5. 建立运营活动事前合规评估机制，把 PIA 作为活动上线的必要前置条件。

2.4 历史存量数据：法不溯及既往与持续处理义务的冲突风险

风险形成机理

历史存量数据指《个人信息保护法》2021年11月1日施行前收集的个人信息。部分机构基于“法不溯及既往”的想法，认为此类历史数据无需按新法整改，因此在开展PIA时，未将存量数据纳入考虑范围。这种想法本身就暗含风险。

法律边界与典型危害

历史存量数据的风险主要有两个：一是收集时没取得符合新法要求的同意，后续处理又没补充取得有效同意，导致整个处理行为没有合法依据；二是数据留存期限不明确，大量超过必要保留期限的数据没及时清理，既违反数据最小化原则，又增加了泄露风险。

案例介绍

某商业银行2018年开始开展个人贷款业务，建立了客户数据库。个保法施行后，该行只对新增用户更新了隐私政策和同意机制，而2018年至2021年的存量用户既未收到隐私政策更新通知，也未被要求重新授权。

截至2025年底，该行仍在使用2018年收集的手机号给存量用户发营销短信，如若用户投诉，该行无法提供符合新法要求的同意记录。此外，该行数据库里尚有约12万条已结清超过7年的贷款记录，按内部制度应予以删除，但此前未开展系统性清理。这些包含身份证号、银行卡号的敏感信息长期留存在生产系统中，存在安全隐患。

PIA 识别要点

1. 统计评估范围内个保法施行前收集的个人信息数量和类别；

2. 审查是否已向存量用户告知新法下的处理规则，并补充取得合法有效的同意；

3. 明确各类数据的法定留存期限和内部制度，核查是否存在已超期未清理的数据；

4. 评估历史数据被用于新处理目的的合规性，审查是否重新取得用户同意或具备其他合法依据；

5. 建立存量数据定期清理机制，制定数据销毁流程和记录制度。

三、金融机构隐性风险源的系统性管控策略

3.1 构建全生命周期的PIA管理体系

要打破“PIA只针对新业务、新系统”的局限，将PIA嵌入个人信息处理的全生命周期。建立常态化风险识别机制，定期对存量业务、第三方合作、算法模型和历史数据开展全面评估。

3.2 完善第三方合作全流程管控

建立统一的第三方SDK准入和退出机制，对厂商进行严格的资质审查和安全评估。在合同中明确约定SDK的数据处理范围、目的、期限，以及双方的安全责任和违约责任。定期对SDK的数据处理行为开展技术审计和合规检查，及时纠正违规行为。

3.3 建立算法合规治理框架

把算法合规纳入全面风险管理体系，建立算法全生命周期管理制度。在算法设计、训练、验证、部署的各个环节引入合规审查，重点关注数据来源合法性、算法公平性和透明度。制定算法公平性测试标准，定期评估自动化决策模型。完善用户权利保障机制，确保用户能有效行使算法解释权和拒绝权。

3.4 健全历史存量数据合规治理机制

制定历史存量数据合规改造专项方案，对个保法施行前收集的数据进行全面梳理和分类。根据数据类型、用途和合规状态，分别采取补充授权、匿名化处理或删除等处置措施。建立数据留存期限台账，定期开展超期数据清理，确保数据处理始终合法合规。

转变认知，平衡发展

个人信息安全影响评估是金融机构履行个人信息保护义务的核心手段，其有效性完全取决于风险源识别的全面性和准确性。金融机构需要转变认知，从个人信息处理活动本身出发，构建全流程、全覆盖的 PIA 体系，深入识别业务场景中的隐性风险，采取针对性的管控措施。只有这样，才能真正发挥 PIA 的风险防范作用，实现个人信息保护与数字金融发展的平衡。

国家金融科技测评中心（银行卡检测中心BCTC，国家金融IC卡安全检测中心，工商注册名：北京银联金卡科技有限公司，以下简称中心）是金融领域内首家通过中央网信办数据与技术保障中心认证的个人信息保护合规审计专业机构，提供从评估到整改一站式全流程服务。