当处理可能对数据主体的权利和自由造成高风险时，NDPA 第 28 条要求开展数据保护影响评估（DPIA）。
何时需要开展 DPIA？
- 大规模处理敏感个人数据
- 系统性监控公众可进入的区域
- 具有法律效力或重大影响的自动化决策
- 涉及新技术的处理
- NDPC 认定为高风险的任何处理
DPIA 工作流程
- 草稿：初始创建和范围界定
- 进行中：开展必要性、风险和缓解措施评估
- 已完成：所有评估均已完成，结果已确定
- 已归档：历史记录
NDPC 咨询
如果 DPIA 表明处理将导致无法缓解的高风险，NDPA 要求咨询 NDPC。请使用已咨询 NDPC 复选框跟踪此事项。