用途：指导组织实施 NIST 隐私框架 1.0（2020 年 1 月）中的 IDENTIFY 职能，建立管理数据处理隐私风险所需的理解基础。该框架为自愿性企业风险管理工具，含五个核心职能：IDENTIFY、GOVERN、CONTROL、COMMUNICATE、PROTECT。
主要能力（四个子类）： ID.IM 清单与映射（P1–P8）：对处理数据的系统/产品/服务做清单登记，识别系统负责人、数据主体类别、数据动作（收集、留存、日志、生成、转换、使用、披露、共享、传输、处置）、数据动作目的与数据元素，理解生态外部因素并绘制数据流图。 ID.BE 业务环境（P1–P3）：确定控制者/处理者/共同控制者角色并传达；建立并传达隐私优先级；识别支撑组织优先级的系统与关键要求。 ID.RA 风险评估（P1–P5）：识别情境因素、数据分析与 AI 的输入输出、对个人的潜在问题，评估问题数据动作的可能性和严重性，并确定风险应对（缓解、转移、规避、接受）。问题数据动作分类含挪用、失真、诱导披露、不安全、重识别、污名化、监视、意外揭示、不当限制。 ID.DE 生态风险管理（P1–P5）：建立供应商隐私管理政策与流程、识别并评估处理者与次级处理者、订立并管理合同（GDPR 第 28 条 DPA、第 26 条共同控制者安排）、建立互操作框架与机制、按风险战略持续监测。
用法：资料给出分阶段方法——第 1 阶段（1–3 月）建立清单与映射，部署数据发现工具、开展部门访谈、交叉核对 GDPR 第 30 条 RoPA；第 2 阶段（2–3 月）业务环境分析；第 3 阶段（3–5 月）风险评估；第 4 阶段（4–6 月）生态风险管理。资料还提供 NIST PF 与 GDPR 的映射（如 ID.IM→第 30 条记录、ID.RA→第 35 条 DPIA、ID.DE→第 28 条处理者要求）。
适用场景：需要构建或成熟化隐私项目、支持 GDPR 问责（第 5(2)、24 条）或对接美国州隐私法（CPRA、VCDPA、CPA）的组织。
限制：NIST 隐私框架为自愿性，不可直接强制执行；资料未提供具体工具名称、价格或安装命令等细节。