服务重点
先画清数据流向：准备数据目录、处理目的、存储位置、访问角色、接口和第三方接收关系。
检查使用过程中的控制：围绕收集范围、最小权限、批量导出、传输、脱敏、备份和删除核查技术及管理证据。
形成能执行的改进项：交付宜包含数据流、问题证据、影响范围、整改优先级及复核条件。
先画清数据流向
准备数据目录、处理目的、存储位置、访问角色、接口和第三方接收关系。区分生产、测试、备份、日志和导出副本，不只检查主数据库。对于个人信息，核对处理目的与必要性；对无法确定类别的数据，记录待核对依据，不凭字段名直接判定法定分类。
检查使用过程中的控制
围绕收集范围、最小权限、批量导出、传输、脱敏、备份和删除核查技术及管理证据。使用测试样本验证越权和留存规则，避免为评估而额外复制整库真实数据。涉及供应商或外部平台时，明确双方责任、授权范围和退出后的处理方式。
形成能执行的改进项
交付宜包含数据流、问题证据、影响范围、整改优先级及复核条件。法律适用和行业特殊要求需结合具体业务核对；一次技术评估不自动完成个人信息保护影响评估、数据出境程序或其他独立义务。
常见问题
数据已加密，是否就没有数据安全风险？
仍需检查谁能解密和访问、导出副本如何管理、数据是否收集过多、共享与删除是否符合约定。加密解决部分保护问题，不能代替完整的处理活动核查。
