dsh-pipia

Manifest valid

Personal Information Protection Impact Assessment: Check whether an assessment was conducted in accordance with Article 55 of the Personal Information Protection Law, and whether records were retained for three years as required by Article 56.

hasBundlePatch

@deepwhale-cn/dsh-pipia

个人信息保护影响评估 —— 查是否按个保法 55 条做了评估、56 条留存三年。

不装它会怎样

你的代码里有人脸核身：

const faceId = await extractFace(imageBase64);
await push(userId, { userInfo: await getUser(userId), faceId });

业务上没问题。法律上踩了第 55 条：

《个人信息保护法》第五十五条 处理敏感个人信息、利用个人信息进行自动化决策、委托处理 / 向他人提供 / 公开个人信息、向境外提供个人信息 —— 应当事前进行个人信息保护影响评估，并对处理情况进行记录

第五十六条 评估报告和处理情况记录应当至少保存三年。

这条是「必须做」，不是「建议做」。 而且监管检查时会直接要求出示。

关键词

关键词：个人信息保护影响评估 · 影响评估 · PIPIA · DPIA · 敏感个人信息 · 合规评估 · 评估报告 · 保存三年 Keywords: PIPIA · DPIA · privacy impact assessment · PIPL · sensitive personal information

它查什么

级别	内容
🔴 高	处理敏感个人信息但找不到评估
🟡 中	仓库里找不到任何评估记录
🟢 低	提到了评估但没写保存期限（56 条要求三年）

两条规则是「条件适用」的

PIPIA-SENSITIVE-NO-ASSESS 和 PIPIA-THIRD-PARTY-NO-ASSESS 只在项目确实有相应处理活动时才跑。没有敏感信息的项目跑这两条就是误报 —— 引擎的条件规则能力（check.when）。

安装

dsh plugin --profile web add @deepwhale-cn/dsh-pipia
# 或纯 CLI
npx @deepwhale-cn/dsh-pipia

dsh-pipia 检查报告示例

dsh-pipia 演示模式输出

dsh-pipia 规则与依据

用法

dsh-pipia --demo
dsh-pipia --list-rules
dsh-pipia --html r.html

边界

不会替你写评估报告 —— 它只发现「你处理了这些活动，但找不到评估痕迹」。
评估通常在仓库外（法务文档、内部系统）—— 报出来是提示你确认，不是断定你没做。
敏感信息靠字段/关键词识别 —— 自定义命名会漏。
不做「必要性」判断 —— 该项处理是否属于必须评估的情形，最终是法律判断。
与 dsh-cn-data-export 分工：那个查数据出境，这个查评估流程（出境也是必须评估的情形之一）。

本插件是一个工具。使用者必须遵守所在地区法律法规，对使用本项目造成的任何后果自行承担责任。

深鲸网安守护系列（共 22 个）

一个插件做一件事。安全问题是链式的 —— 配套用才完整。

国内合规 ｜等保对照 · 日志留存 · 备案公示 · 用户同意 · 个人信息权利 · 未成年人保护 · 影响评估 · 数据分类分级 · 算法备案 · 数据出境

AI 与 Agent 治理 ｜ AI 输出信任 · 外部内容信任 · MCP 安全 · Agent 权限

数据与凭据 ｜敏感数据 · 密钥轮换

供应链与构建 ｜开源许可 · 依赖投毒 · CI 安全

权限与应急 ｜最小权限 · 告警外发 · 应急证据包

都在 DSH 插件市场（dsh-plugin.org）和 npm 上，dsh plugin --profile web add <包名> 即可安装。

License

Comments

Loading…