数据保护影响评估是一项系统性流程，用于评估和缓解个人数据处理过程中产生的隐私风险，并确定应对这些风险的适当措施。通过实施数据保护影响评估（DPIA），组织能够确保对隐私风险进行全面考量和有效管理，最终促进个人数据保护权利的完善与强化。
收集、保留和使用数据的行为使个人面临信息无意泄露、被盗或遭非法使用的风险，而数据主体对此并不知情。因此，《数据保护法》第41条明确要求数据控制者和处理者必须采取必要措施，以降低对相关数据主体隐私权的不利影响。 若数据影响评估（DPIA）表明数据处理将对数据主体的权利和自由构成高风险，数据处理者在处理该数据前必须咨询数据专员。
何时需要进行数据保护影响评估？《数据保护法》第31条规定，当处理操作因其性质、范围、背景和目的可能对数据主体的权利和自由造成高风险时，数据控制者或数据处理者应在处理前进行数据保护影响评估。 这意味着必须持续评估数据处理产生的风险，以识别何时数据处理可能对数据主体的权利和自由造成高风险。
可能需要进行DPIA的高风险情况示例。
a) 大规模处理敏感数据。根据《数据保护法》，敏感数据指揭示自然人种族、健康状况、民族社会背景、良知、信仰、遗传数据、生物特征数据、财产详情、婚姻状况、家庭信息（包括子女、父母、配偶姓名）、性别或性取向的数据。
b) 大规模系统性监控公共区域。 这是因为当公众成员不知晓数据收集方及数据用途时，个人数据可能被收集。
c) 采用新技术处理数据时，须考量数据处理的性质与目的。新技术应用的后果可能尚未显现，因此通过评估，数据处理者或控制者能够理解并应对此类风险。
《数据保护法》第31条规定了数据保护影响评估应包含的内容。首先，需系统性描述涉及的数据处理活动及其目的，其中可能包含负责管理或处理数据的个人或组织所追求的合法利益。其次，评估数据处理是否与收集目的相关且必要，并符合比例原则。 第三，评估数据处理对数据主体权利自由的潜在风险。第四，制定应对风险的措施方案，包括保障措施、安全机制及防护手段，以确保个人数据得到保护并证明符合本法要求，同时充分考虑数据主体及其他相关方的权利与合法利益。
此外，《数据保护法》第41条和第42条建议数据保护影响评估（DPIA）应涵盖的事项包括但不限于：–
• 收集的个人数据量。
• 数据处理范围。
• 数据存储期限。
• 数据可访问性；以及
• 数据处理成本及所用技术与工具。
综上所述，数据保护影响评估有助于促进合规，因此应尽早启动并随项目进展持续更新，以确保数据主体的权利与自由得到保护。