与国外制度演进过程相比，我国的个人信息保护影响评估也面临着相同的问题，即如何配置更为明确的评估实施细则。在技术信任论的导向下，个人信息保护影响评估在法律适用过程中还存在评估模式的争议，即全面评估和重点评估两种模式究竟如何选择。全面评估的内在逻辑是，因人脸识别技术应用涉及重大风险，且这些重大风险导致的损害结果难以在事后救济，故而需要通过全面评估确保形成对风险情况的全面认知，尽可能在事前阶段预防风险发生。重点评估的内在逻辑则是，因人脸识别技术应用风险有其特殊性，故而相应的评估应当围绕社会关注的重点风险事项展开，同时还能兼顾各类法律主体的实际义务履行能力。结合前述欧盟的制度实践来看，欧盟并未强调评估事项、评估流程以及评估范围的完全相同，仅强调评估标准的一致性，这是因为GDPR框架下的数据保护影响评估表现为“管理数据主权权利风险的工具”，具体评估机制的设置需要从数据主体的立场出发，故而需要更为灵活的框架性工具。我国的个人信息保护影响评估在权益影响层面具有相似性，虽然面向重大风险、特殊风险采用全面评估能够最大化识别、预防风险，但是，该项评估机制本质上还是以自然人权益保障程度为导向，其他风险评估事项完全可交由以内部风险管理活动为导向的一般风险评估机制涵盖。针对公共场合人脸识别应用，部分学者主张结合“绝对应用场景”“相对应用场景”和“禁止应用场景”三类模式，有重点地从应用手段、应用目的、技术侵入程度等要素进行利益衡量。因此，我国个人信息保护影响评估所采用的模式应当是重点评估模式，重点从权利主体的立场评估人脸识别技术应用是否可能对权利造成重大影响。在实践中，不少健身房经营者通过“刷脸”门禁提供“24小时自助式服务”，那么这类经营者在使用“刷脸”门禁前应当就消费者关注的人脸信息的泄露风险、健身房采取的安全保障措施、人脸信息的实际处理者等事项进行重点评估。

在实践中，个人信息保护影响评估的另一适用难题便是评估结果究竟是否应当对外公开，以及应当以何种方式对外公开。按照技术信任论的导向，社会公众对人脸识别技术应用的信任是以人脸信息处理活动和关联业务活动的公开透明为基础。倘若评估结果不公开，那这种“内部评估”难以促成技术信任的产生；但倘若评估结果公开，义务主体又担心会泄露其部分商业秘密，影响正常经营活动。而且，《个人信息保护法》和《刷脸安全办法》均提及了评估报告留存时间和大规模处理人脸信息的强制备案义务，使得评估结果是否需要公开似乎也失去了讨论的必要性。

首先，备案与公开虽均具有“信息对外披露”之内涵，但两者所面向的治理效果存在显著差异：《刷脸安全办法》第15条所规定的备案内容是以“评估报告”为限，结合“人脸信息保护负责人的基本情况”“处理目的、方式和安全保护措施”等其他备案事项来看，其直接目的是以强制备案方式督促义务主体严格履行人脸信息保护义务。此外，备案的适用情形是以“公共场所使用”和“存储特定数量的人脸信息”为限，备案的另一目的则是在损害事件发生后结合备案信息判断义务主体是否存在严重过错。相对地，评估结果的公开对象是社会公众，直接目的也是让社会公众能够知晓人脸识别技术应用是否具有应有的安全性和可靠性。相应地，也有学者指出，评估结果的公开不仅能够提升技术应用实际情况的透明度，而且还能够推进技术服务提供者、使用者与社会公众之间的风险交流，避免个人信息保护影响评估机制最终流于形式。

其次，个人信息保护影响评估机制是以技术信任论为基础，评估结果的公开是为了确保社会公众能够合理相信人脸识别技术应用不存在损害其实际权益的风险。在法律实施过程中，评估报告应当详细记录评估流程、评估主体、评估标准和评估结果等内容，而评估结果仅仅是有关人脸识别技术应用是否存在重大风险以及能否有效预防和控制的事实描述，故而评估结果并不会包含评估报告可能涉及的内部管理制度、日常经营活动等重要信息，评估结果的公开当然也不会对义务主体实际权益产生负面影响。更何况不对外公开结果的内部评估机制没有必要在立法中专门规定，仅由个人信息处理者根据自身情况自行决定评估频率、评估流程等事项即可。此外，评估结果的公开与个人信息处理者的商业声誉等利益受损之间并没有直接关系，更确切地说，只有公开评估结果才不会让社会公众产生“窃取人脸信息”“非法监控行动轨迹”等负面印象，进而商业声誉才会得到维护。而且，个人信息保护影响评估通常是在部署技术应用之前进行，如若评估结果显示“高风险、不可控”，也就意味着该类技术应用属于被法律禁止的范畴，此时不涉及评估结果的公开问题。

最后，个人信息保护影响评估的结果公开本质上属于个人信息处理者履行合同义务的应有之义。在人脸识别信息服务合同法律关系中，自然人与信息服务提供者之间的“合意”表现为双方对人脸识别信息服务安全可靠的共同认可。而在实践中，自然人和信息服务提供者之间并不会明确约定相应的风险范畴，此时，业已公开的评估结果则可以作为判断双方合意内容的具体依据。换言之，评估结果的公开方式至少应当表明信息服务提供者经过初步评估后，能够确保相应的信息服务符合法律法规，技术应用方式符合科技伦理，并且能够排除显著存在的重大安全风险。同时，这种最低标准的公开形式也不会给线下场所增加额外的业务合规负担，仅需在进行人脸验证时，明确告知自然人已经进行个人信息保护影响评估并能够确保技术应用符合法律法规、国家强制性技术标准等要求。例如，对于采用刷脸进出的KTV、健身房等场所，要求这类主体事无巨细地向消费者解释评估过程、评估标准等事项未免强人所难，但要求其“承诺”其采用的“刷脸”应用合法合规且可靠，告知消费者“刷脸”应用已经过评估流程不会有异常风险，这更符合自然人和信息服务提供者的实际需求。

具体而言，针对“刷脸”应用的常见应用场景，则可以确立行业化、标准化的个人信息保护影响评估模式。例如，针对小区、写字楼等进出入身份核验等场景，鉴于相关“刷脸”应用的信息安全环境、处理目的、处理方式在一定周期内具有稳定性，且“刷脸”应用多为第三方提供，物业管理者在进行个人信息保护影响评估时可以采用模块化、标准化的评估方式，评估事项主要包括“刷脸应用是否安全可靠”“第三方能否提供刷脸应用的风险评估报告和技术标准验证报告等材料”“人脸信息的内部访问权限是否严格落实到位”“人脸信息是否存在挪作他用风险”等事项。评估结果则应当以简化版的评估报告形式向业主公布，至少应当列明“第三方提供刷脸应用的安全认证材料”“人脸信息是否存在挪作他用可能性”“刷脸应用是否合法”等具体的评估指标，以此确保自然人能够确信“刷脸”应用具备法定的安全水平。

针对公共场所、APP、小程序等“刷脸”应用场景，则需要根据应用场景和应用主体确定相应的个人信息保护影响评估模式。例如，针对公园、健身场馆等场景，刷脸应用的核心目的是核验身份，对个人权益影响相对较小，故而可以采用重点评估模式，评估事项除了强制性评估事项之外，还需要重点评估这些场所的经营者、管理者是否在出入口或者官方网站上事前说明“刷脸”应用的相关基本情况。同时，《刷脸安全办法》第13条对公共场所的人脸信息采集范围有所限定，故而“刷脸应用的采集区域是否合理合法”和“刷脸应用是否设置了足以让社会公众清晰可见的显著提示标识”也应当纳入重点评估范畴。

至于APP、小程序采用“刷脸”验证等场景，考虑到信息服务提供者本身的技术能力、人脸信息的实际安全风险、涉及用户其他权利的行使等要素，更适宜采用全面评估模式，即APP、小程序运营者需要整体性评估“刷脸”应用对用户合法权益的影响范畴、应对措施及其应对效果。例如，涉及人体健康指征监测的APP运营者在进行“刷脸”应用个人信息保护影响评估时，未能全面评估人脸信息是否会被超范围使用或者是否会与其他人脸信息处理者进行传输、共享，即便评估APP、小程序不存在重大异常安全风险，也不应当被视为完成个人信息保护影响评估。再比如，对于涉及面部表情检测的APP，运营者的评估事项应当囊括所有人脸信息处理环节，表情、情绪的监测已然触及用户的隐私权，个人信息保护影响评估的最终目的应当是确保人脸识别技术应用方式及其保护措施对用户合法权益影响程度降至最低。APP、小程序运营者在公开评估结果时，为了避免用户对评估结果的“过度解读”，评估结果无需面面俱到，但至少应当说明人脸信息处理活动不会对个人合法权益造成超出用户基于平台规则、现行立法而产生的合理预期范畴，并且应当满足用户查阅评估结果时的便捷化要求，例如，需要跳转多个页面才能查阅评估结果的情形属于不合理的评估结果公开方式。