---
name: pipl-assessment
description: >
  PIPL合规评估checklist——对照PIPL核心要求，评估合规差距。
  适用情形：data-inventory完成后，对照PIPL全面评估合规状态。
  核心：合法性基础→告知义务→同意管理→数据安全→主体权利五模块。
argument-hint: "[产品名称] [或个人信息来源：app/网站/线下]"
legal_frame: cn-mainland
last_reviewed: 2026-06
version: 1.0.0
risk_level: high
trigger_phrases:
  - '个人信息保护'
  - '评估'
  - '数据合规'
  - '个人信息'
  - 'PIPL'
---

## 加载上下文

**首次使用时：** 读取 `../CLAUDE.md` 获取场景级配置（法域足迹/数据源/置信度规则）。

# /pipl-assessment — PIPL合规评估checklist

## 五大合规模块

---

### 模块一：合法性基础（第13条）

**PIPL规定的六种合法性基础（满足其一即可）：**

| 合法性基础 | 说明 | 适用场景 |
|---|---|---|
| 同意 | 个人信息主体明确同意 | 个性化推荐/广告/非必要处理 |
| 合同履行 | 为订立/履行合同所必要 | 用户服务所必须的功能 |
| 法律义务 | 履行法定义务 | 反洗钱/实名认证/数据留存 |
| 正当利益 | 利益权衡不过分损害个人利益 | 安全风控/内部管理 |
| 紧急情况 | 保护生命健康 | 紧急联系人 |
| 公共利益 | 新闻报道/舆论监督等 | 新闻报道 |

**⚠️ 关键判断：处理目的是否是"必要的"**

---

### 模块二：告知义务（第17条）

**必须告知的内容：**

| 告知项 | 说明 | 风险 |
|---|---|---|
| 处理目的 | 处理目的须具体明确 | ⚠️ "改善用户体验"等模糊表述不够 |
| 处理方式 | 自动化决策须说明 | ⚠️ 算法推荐须特别说明 |
| 种类和数量 | 收集的个人信息类型和数量 | ⚠️ 过度收集 |
| 存储期限 | 存储多长时间 | ⚠️ 过长存储 |
| 共享/提供给第三方 | 第三方的身份和目的 | ⚠️ 未披露 |
| 境外提供 | 如有，须说明 | 触发出境合规 |

**告知方式要求：**
- 显著位置公开隐私政策（不得捆绑在服务协议中）
- 敏感信息须单独同意（不得一揽子同意）

---

### 模块三：同意管理

#### 同意撤回

**要求：** 个人信息主体可以撤回同意，撤回后不得影响撤回前基于同意的处理

**实现要点：**
- 提供撤回同意的便捷路径（与给予同意同等便捷）
- 撤回后停止相关数据处理
- 不得设置障碍（复杂流程/多次点击）

#### 单独同意的场景

| 场景 | 要求 | 实现方式 |
|---|---|---|
| 向第三方提供个人信息 | 单独同意 | 弹窗/页面跳转确认 |
| 公开个人信息 | 单独同意 | 单独弹窗确认 |
| 敏感信息处理 | 单独同意 | 单独弹窗+明示处理必要性 |
| 境外提供 | 单独同意 | 出境专项同意 |
| 自动化决策 | 可关闭/拒绝 | 提供关闭选项 |

---

### 模块四：数据安全

#### 安全措施要求（第51条）

| 要求 | 说明 |
|---|---|
| 管理制度 | 建立个人信息保护管理制度 |
| 分类分级 | 对个人信息分类分级管理 |
| 加密/去标识化 | 敏感信息须加密或去标识化处理 |
| 访问控制 | 最小授权原则 |
| 安全培训 | 员工安全意识培训 |
| 应急预案 | 制定应急预案 |

#### 个人信息保护负责人（第52条）

| 条件 | 要求 |
|---|---|
| 处理>100万人个人信息 | 须指定负责人，并报省级网信部门 |
| 核心数据处理者 | 须指定负责人，并报省级网信部门 |

---

### 模块五：个人信息主体权利（第44-50条）

| 权利 | 说明 | 响应时限 |
|---|---|---|
| 知情权 | 了解信息处理情况 | — |
| 决定权 | 控制个人信息处理 | — |
| 查阅复制权 | 查阅/复制个人信息 | 15日内提供 |
| 更正权 | 更正不准确信息 | 15日内更正 |
| 删除权 | 撤回同意/目的实现/违法处理时删除 | 15日内删除 |
| 解释说明权 | 要求解释处理规则 | — |
| 撤回同意权 | 撤回同意 | — |
| 逝者信息权 | 亲属可代为行使（限定范围） | — |

**⚠️ 拒绝处理的例外：**
- 涉及国家安全/国防安全
- 公共安全/公共卫生
- 重大公共利益
- 刑事侦查/起诉/审判
- 法律规定的其他情形

---

## 合规评估评分

| 模块 | 合规项数 | 总项数 | 得分 |
|---|---|---|---|
| 合法性基础 | /6 | | /100 |
| 告知义务 | /7 | | /100 |
| 同意管理 | /5 | | /100 |
| 数据安全 | /6 | | /100 |
| 主体权利 | /7 | | /100 |

**综合评分：五模块平均分**

---

## 输出格式

```
## PIPL合规评估结果

### 综合评分
[综合评分]/100

### 各模块评分
| 模块 | 评分 | 主要问题 |
|---|---|---|
| 合法性基础 | X/100 | [问题] |
| 告知义务 | X/100 | [问题] |
| 同意管理 | X/100 | [问题] |
| 数据安全 | X/100 | [问题] |
| 主体权利 | X/100 | [问题] |

### 高风险问题（须立即整改）
| 问题 | 描述 | 依据 | 整改建议 |
|---|---|---|---|
| [问题1] | [描述] | [法条] | [建议] |

### 中风险问题（近期整改）
| 问题 | 描述 | 依据 | 整改建议 |
|---|---|---|---|

### 低风险问题（持续改进）
| 问题 | 描述 | 依据 | 整改建议 |
|---|---|---|---|
```

---

## 数据源

- PIPL全文：[YD] 个人信息保护法
- 安全规范：[YD] GB/T 35273-2020
- 执法案例：[GOV] CAC官网 / 网信办执法案例公告
- 评估标准：[YD] 数据安全法 / 个人信息出境标准合同办法

---

*Greater China Legal — B-phase Scene C data-compliance v1.0.0*