dsh-pipia

@deepwhale-cn/dsh-pipia

个人信息保护影响评估 —— 查是否按个保法 55 条做了评估、56 条留存三年。

不装它会怎样

你的代码里有人脸核身：

const faceId = await extractFace(imageBase64);
await push(userId, { userInfo: await getUser(userId), faceId });

业务上没问题。法律上踩了第 55 条：

《个人信息保护法》第五十五条 处理敏感个人信息、利用个人信息进行自动化决策、 委托处理 / 向他人提供 / 公开个人信息、向境外提供个人信息 —— 应当事前进行个人信息保护影响评估，并对处理情况进行记录

第五十六条 评估报告和处理情况记录应当至少保存三年。

这条是「必须做」，不是「建议做」。 而且监管检查时会直接要求出示。

关键词

关键词：个人信息保护影响评估 · 影响评估 · PIPIA · DPIA · 敏感个人信息 · 合规评估 · 评估报告 · 保存三年 Keywords: PIPIA · DPIA · privacy impact assessment · PIPL · sensitive personal information

它查什么

两条规则是「条件适用」的

PIPIA-SENSITIVE-NO-ASSESS 和 PIPIA-THIRD-PARTY-NO-ASSESS 只在项目确实有相应处理活动时才跑。 没有敏感信息的项目跑这两条就是误报 —— 引擎的条件规则能力（check.when）。

安装

dsh plugin --profile web add @deepwhale-cn/dsh-pipia
# 或纯 CLI
npx @deepwhale-cn/dsh-pipia

用法

dsh-pipia --demo
dsh-pipia --list-rules
dsh-pipia --html r.html

边界

• 不会替你写评估报告 —— 它只发现「你处理了这些活动，但找不到评估痕迹」。
• 评估通常在仓库外（法务文档、内部系统）—— 报出来是提示你确认，不是断定你没做。
• 敏感信息靠字段/关键词识别 —— 自定义命名会漏。
• 不做「必要性」判断 —— 该项处理是否属于必须评估的情形，最终是法律判断。
• 与 dsh-cn-data-export 分工： 那个查数据出境，这个查评估流程（出境也是必须评估的情形之一）。

本插件是一个工具。使用者必须遵守所在地区法律法规，对使用本项目造成的任何后果自行承担责任。

---

深鲸网安守护系列（共 38 个）

一个插件做一件事。安全问题是链式的 —— 配套用才完整。

国内合规（12）｜ 等保对照 · 日志留存 · 备案公示 · 用户同意 · 个人信息权利 · 未成年人保护 · 影响评估 · 数据分类分级 · 算法备案 · 数据出境 · 国密合规 · AI 内容标识

AI 与 Agent 治理（6）｜ AI 输出信任 · 外部内容信任 · MCP 安全 · Agent 权限 · 策略核对 · 可疑指令

数据与凭据（5）｜ 敏感数据 · 密钥轮换 · 数据留存 · 配置审计 · 密钥扫描

供应链与构建（5）｜ 开源许可 · 依赖投毒 · CI 安全 · 工具审查 · 物料清单

权限与应急（3）｜ 最小权限 · 告警外发 · 应急证据包

行业专项（4）｜ 医疗行业专项 · 教育行业专项 · 金融行业专项 · 地方数据条例

编排与交付（3）｜ 一键体检 · 改前改后复核 · 合规可交付文档

都在 DSH 插件市场（dsh-plugin.org）、npm 和 deepwhale.org.cn/guard.html 上。

---