在明确个人信息保护影响评估与人脸识别技术治理目标的逻辑关系后，则需要进一步明确个人信息保护影响评估的理论基础，这关系到该项制度在一般情形下对“刷脸”这一特定情形的具体制度内容设置，同时也关系到在法律适用中如何解释个人信息保护影响评估机制与其他安全风险评估机制的逻辑关系。

制度溯源的目的是准确理解制度设置的最初目的和发展方向，个人信息保护影响评估机制是经由“信息系统安全风险评估”“网络安全等级保护”等制度发展而来，其正当性基础必然也是以风险预防和管控为核心。当然，倘若仅仅停留于笼统层面的风险治理、风险评估，并不能实际解决个人信息保护影响评估具体内容的建构问题，故而还需要进一步阐明个人信息保护影响评估建构所依据的具体理论，避免将制度问题束缚于脱离实践层面的“风险概念”论证。现有研究多是从风险治理的角度论证个人信息保护影响评估的理论基础，最常见的观点便是认为个人信息保护遵循的是“基于风险的方法”，其理论价值在于“根据风险水平差异化调整个人信息保护强度”，而这种调整则“有赖于科学合理的影响评估”。个人信息保护影响评估作为典型的风险评估认定机制，制度优化路径应当更加侧重对权益实际影响的考察。也有学者试图从其他视角论证相应个人信息保护影响评估的理论基础，如主张该项制度与元治理理论在“国家主导”“社会力量调配”两个方面相互契合，理应按照元治理的治理逻辑实现“内外监督机制”“评估透明度”和“周期性评估”等方面的制度优化。

无论是“基于风险的方法”，还是元治理理论等其他理论学说，本质上都承认个人信息保护影响评估属于一种特殊的风险评估机制，只不过对于风险评估的内在逻辑存有分歧。“基于风险的方法”实质上是将个人信息保护影响评估视为一般信息安全风险评估在个人信息领域的“特殊适用”，元治理理论等学说则是将个人信息保护影响评估视为新型独立的风险评估机制。从《个人信息保护法》第55、56条的内容来看，个人信息保护影响评估的适用情形、评估事项具有其特殊性，并且该项制度所需要实现的督促义务履行功能也决定了该项技术有别于“个人信息安全风险评估”：一方面，个人信息保护影响评估是一种“权益影响评估”，评估事项除了有关个人信息处理活动的合法性判断外，还包括“对个人权益的影响及安全风险”。如果仅将该项制度视为安全风险评估的一种类型，则会无法解释“安全风险”与“权益影响”之间的关系。倘若将“权益影响”视为安全的表现形式，那么按照此种逻辑，又会推导出个人信息保护合规审计等具体制度均属于个人信息安全风险评估的不同形式，《个人信息保护法》也成了“个人信息安全风险评估法”。另一方面，个人信息保护影响评估是一种“重点保护事项的评估”。为了避免义务主体陷入“频繁评估”“重复评估”的困局，《个人信息保护法》第55条也将适用个人信息保护影响评估的情形限定为特殊情形，其目的是督促义务主体重点审查“对个人权益有重大影响”的个人信息处理活动是否符合现行立法规定。

由此可见，个人信息保护影响评估机制的本质是针对“特定安全风险”进行事前评估，既不同于传统意义上的纯粹风险评估，侧重具体的风险类型识别，也不同于常见的合规审计、合规审查等，偏向合规检验，而是根据“特定安全风险”的敏感程度和重要程度进行针对性的事前评估和核查。结合该项制度的督促目标来看，其理论基础并不仅仅是一种特殊的风险评估机制，更是一种技术信任增强机制，核心是增强技术应用的透明度。也有学者将该治理理论表述为“社会建构论”，强调人脸识别技术治理应当将消除社会公众与技术之间的信任危机作为一般立场。国外学者针对当下数据自由流动的产业发展趋势，提出了“隐私即信任”的理论，即“基于信任的隐私是一种社会结构，它建立在社会共享者之间、个人与互联网之间、在线和离线互动的人群信任之间”。这种理论的功能价值在于解释了隐私保护和信息流动之间的逻辑关系，因为社会主体之间只有存在信任，才能形成对各类主体行为模式的事前确信，进而出于合理期待愿意进行信息共享和开放。尤其是涉及数据收集环节时，在“隐私即信任”的理论框架下，网站对其用户承担更多的义务，因为其具备“信息受托人”的角色，需要考虑信息被委托人的最大利益。“隐私的核心不是保守秘密，而是保持控制”，人脸信息的核心则是确保自然人能够合理相信自己的人脸信息处于安全可控状态。在此种技术信任论的导向下，个人信息保护影响评估机制的内在治理逻辑也表现为：通过针对“特定安全风险”采取强制的评估流程，既确保信息处理者能够确信技术应用足够安全，也能确保自然人足以信赖技术应用不会损害个人信息权益，这种双向的“信任”促使相应的个人信息处理活动能够合法且合理地进行。

在人脸识别技术治理语境下，技术信任论是将个人信息保护影响评估机制转变为建立信息处理者与自然人之间“信任”关系的保障机制。需要说明的是，这种“信任”状态的达成是通过“发现风险”“评估风险”“降低或缓解风险”和“权益安全保障”四个环节实现的。从实践角度来看，社会公众对于人脸识别技术产生恐慌、质疑的根本原因还是对整个信息处理过程和技术应用概况不甚了解，但是这种“不知情”的状况又不可能简单通过信息公示披露或平台规则阅读等方式化解。因为对于绝大多数社会公众而言，其自身并不可能很好地了解人脸识别技术应用的基本原理，而且在部分情况下，社会公众即便“知情”，也可能为使用相关信息服务而无奈选择接受。国外学者在公共执法领域亦提出了类似的观点，即人脸识别技术并不总是让人信服，故而需要以准确披露识别结果和识别置信度等重要事项为基础，强调以公平的方式消解权益被影响者对技术应用的不知情状态。所以，更为合理的治理策略应当是由个人信息处理者消解这种“不知情”或“知情但无实际决定能力”的问题，即在事前阶段，对人脸识别技术应用采取合理措施，确保自然人能够相信自己的人脸信息不会被滥用、相关联的技术应用并不会减损自己的实际权益。

倘若仅是一般意义上的风险评估，《个人信息保护法》显然没有专门规定个人信息保护影响评估的必要性，故而个人信息保护影响评估的治理逻辑需要从“风险评估”予以延伸：第一，个人信息保护影响评估应当能够实现“发现和识别风险”。因为无论是风险治理机制还是影响评估机制，最基础的制度目标必然是确认存在何种程度、何种类型的风险，并且，个人信息保护影响评估的适用前提是存在严重影响个体权益的可能或显著的个人信息安全风险，所以，这种“发现和识别”功能暗含“判断是否存在重大风险”和“识别重大风险来源、类型和程度”两层内涵。第二，个人信息保护影响评估应当能够实现“评估风险”。在此语境下，风险评估的内涵则不仅仅限于网络安全风险、数据安全风险，否则只会导致个人信息保护影响评估与网络安全风险评估的功能混同。所以，这里的“风险评估”主要是为了判断个人信息安全风险、权益影响风险究竟是否在可控、可接受范围内。现有研究对于“风险”的范围界定实际上属于广义范畴，意欲实现风险可控，既包括可预测风险，也包括未来是否发生的不确定性风险。但后一种风险更多属于一种猜想式风险，难以纳入个人信息保护影响评估范畴之内；前一种风险则属于能够在相应范围内确定发生的实践风险，风险评估的目的在于判断这种风险是否属于社会可接受范围。此种风险认知逻辑在人工智能治理领域同样存在，如常见的论争风险包括自动驾驶安全风险、致命性自主武器风险、司法系统处理个人数据的算法使用风险、通用人工智能攻击创造者风险等。但在部分学者看来，仅有最后一类风险是需要引入“预防原则”的，因为该风险的性质及其可能性存在真正的不确定性，至于其他类型风险则可以通过针对性的治理措施予以有效控制。第三，个人信息保护影响评估应用应当能够实现“降低或缓解风险”。该类机制的核心目标是实现个人信息安全风险和权益影响风险的有效降低或缓解，故而评估报告及其解决方案不能被定位为评估机制的程序性事项，更需要作为义务是否充分履行的实质性判断标准。第四，个人信息保护影响评估应当能够促使义务主体主动采取“权益安全保障措施”。风险缓解措施的本质是降低风险发生的概率和减小权益损害的实际范围，但安全事件的发生不可避免，故而还需要义务主体采取合理措施确保事后的救济措施能够达成与“恢复原状”相持平的权益救济效果。