第五十五条 有下列情形之一的，个人信息处理者应当事前进行个人信息影响评估，并对处理情况进行记录：

（一）处理敏感个人信息；

（二）利用个人信息进行自动化决策；

（三）委托处理个人信息、向其他个人信息处理者提供个人信息、公开个人  信息；

（四）向境外提供个人信息；

（五）其他个人权益有重大影响的个人信息处理活动。

第五十六条 ......个人信息保护影响评估报告和处理情况记录应当至少保存三年。