用途：为 DPIA 提供可量化的风险评分框架，把定性的隐私风险转换为可比较、可排序的分数，支撑缓解措施决策。GDPR 第 35(7)(c) 条要求 DPIA 包含对数据主体权利与自由风险的评估，本技能即针对该要求。
主要能力：
- 严重程度量表（对数据主体权利的影响）：可忽略=1（轻微不便、易恢复）；有限=2（明显不便、需努力恢复）；重大=3（严重后果、难以恢复，如经济损失、歧视、声誉损害）；最大=4（不可逆或极难恢复，如身份盗用、人身安全风险、失业）。
- 可能性量表：可忽略=1（现有控制下不太可能，强技术控制、访问受限、静态与传输加密）；有限=2（可能但需特定条件，部分访问控制、部分加密、已知但未证实的攻击向量）；重大=3（在已知威胁态势下很可能，特定领域控制薄弱、行业内有先例、存在活跃威胁行为者）；最大=4（几乎确定或已发生，无控制、已知漏洞、类似系统曾遭入侵）。
- 风险矩阵：分数=严重程度×可能性，范围 1-16。风险等级：低=1-3，中=4-6，高=7-9，极高=10-16。
- ENISA 对齐的风险类别：保密性丧失、完整性丧失、可用性丧失、目的限制丧失、歧视、身份盗用/欺诈、经济损失、声誉损害、人身伤害、自主权丧失。
- 固有风险与剩余风险：固有风险为未采取缓解措施前的风险等级；剩余风险为采取计划缓解措施后的等级；风险降低=两者差值；可接受风险阈值由组织自行定义。
使用方式：按上述量表分别评定严重程度与可能性，相乘得出分数并映射风险等级，再对比缓解前后的固有与剩余风险。
适用场景：GDPR 合规下的 DPIA 风险评估、隐私风险优先级排序、缓解措施效果比较。
限制：资料未提供具体工具、安装命令或自动化实现方式；可接受风险阈值需组织自行定义；当剩余风险在采取所有可行缓解措施后仍为高或极高时，控制者须依据 GDPR 第 36(1) 条在开始处理前咨询监管机构。