《個人信息保護合規審計管理辦法（徵求意見稿）》是為指導、規範個人信息保護合規審計活動，根據《中華人民共和國個人信息保護法》等法律法規，制定的辦法。
2023年8月，國家網際網路信息辦公室發布《個人信息保護合規審計管理辦法（徵求意見稿）》。
基本介紹
- 中文名：個人信息保護合規審計管理辦法
- 發布單位：國家網際網路信息辦公室
- 徵求意見稿發布時間：2023年8月3日
- 意見反饋截止時間：2023年9月2日
發布信息,內容全文,
發布信息
2023年8月，國家網際網路信息辦煉鞏愉公室發布《個人信息保護合規審計管理辦法（徵求意見稿）》。
為指導、規範個人信息保護合規審計活動，根據《中華人民共和國個人信息保護法》等法律法規，國家網際網路信息辦公室起草了《個人信息保護合規審計管理辦法（徵求意見稿）》，現向社會公開徵求意見。公眾可以通過以下途徑和方式提出反饋意見：
1.登錄中華人民共和國法務部 中國政府法制信息網（略），進入首頁主選單的“立法意見徵集”欄目提出意見。
2.通過電子郵件方式傳送至：【略】。
3.通過信函方式將意見寄至：北京市海淀區阜成路15號國家網際網路信息辦公室網路數據管理局，郵編100048，並在信封上註明“個人信息保護合規審計管理辦法徵求意見”。
意見反饋截止時間為2023年9月2日。
國家網際網路信息辦公室
2023年8月3日
內容全文
個人信息保護合規審計管理辦法徵求意見稿
第一條 為指導、規範個人信息保護合規審計活動，提高個人信息處理活動合規水平，保護個人信息權益，根據《中華人民共和國個人信息保護法》等法律、行政法規和國家有關規定，制定本辦法。
第二條 個人信息處理者定期開展個人信息保護合規審計，或者按照履行個人信息保護職責的部門要求委託專業機構對其個人信息處理活動進行合規審計，以及對個人信息保護合規審計活動的監督管理適用本辦法。
第三條 本辦法所稱個人信息保護合規審計，是指對束捆項達個人信息處理者的個人信息處理活動是否遵守法律、行政法規的情況進行審查和評價的監督活動。
第四條 處理超過100萬人個人信息的個人信息處理者，應當每年至少開展一次個人信息保護合規審計；其他個人信息處理雅驗雄者應當每二年至少開展一次個人信息保護合規審計。
第五條 個人信息處理者自行開展個人信息保護合規審計，可根據實際情況，由本組織內部機構或者委託專業機構按照本辦法要求開展。
第六條 履行個人信息保護職責的部門在履行職責中，發現個人信息處理活動存在較大風險或者發生個人信息安全事件的，可以要求個人信息處理者委託專業機構對其個人信息處理活動進行合規審計。
第七條 個人信息處理者按照履行個人信息保護職責的部門要求開展個人踏設信息保護合規審計的，應當在收到通知後儘快按照要求選定專業機構進行個人信息保護合規審計。
第八條 個人信息處理者按照履行個人信息保護職責的部門要求委託專業機構開展個人信息保護合規審計的，應當保證專業機構能夠正常行使下列許可權：
（一）要求提供或者協助查閱相關檔案或資料；
（二）進入個人信息處理活動相關場所；
（三）觀察場所內發生的個人信息處理活動；
（四）調查相關業務活動及所依賴的信息系統；
（五）檢查、測試個人信息處理活動相關設備設施；
（六）調取、查閱個人信息處理活動相關數據或信息；
（七）訪談與個人信息處理活動有關的人員；
（八）就相關問題進行調查、質詢和取證；
（九）其他開展合屑歡組規審計工作所必需的許可權。
第九條 個人信息處理者按照履行個人信息保護職責部門要求委託專業機構開展個人信息保護合規審計的，應當在90個工作日內完成個人信息保護合規審計；情況複雜的，報經履行個人信息保護職責的部門批准後可適當延長。
第十條 個人信息處理者按照履行個人信息保護職責部門要求委託專業機構開展個人信息保護合規審計的，應當按照本辦法要求組織實施個人信息保護合規審計，在實施必要合規審計程式後，及時將專業循踏葛機構出具的個人信息保護合規審計報告報送履行個人信息保護職責的部門。個人信息保護合規審計報告應當由合規審計負責人、專業機構負責人簽字並加蓋專業機構公章。
第十一條 個人信息處理者按照履行個人信息保護職責的部門要求委託專業機構開展個人信息保護合規審堡榜旬影計的，應當按照專業機構給出的整改建議進行整改，經專業機構覆核後將整改情況報送履行個人信息保護職責的部門。
第十三條 國家網信部門會同公安機關等國務院有關部門按照統籌規劃、合理布局、擇優推薦的原則建立個人信息保護合規審計專業機構推薦目錄，每年組織開展個人信息保護合規審計專業機構評估評價，並根據評估評價情況動態調整個人信息保護合規審計專業機構推薦目錄。
鼓勵個人信息處理者優先選擇推薦目錄中的專業機構開展個人信息保護合規審計活動。
第十四條 專業機構在從事個人信息保護合規審計活動時，應當誠信正直，公正客觀地作出合規審計職業判斷。
專業機構在履行個人信息保護合規審計職責中獲得的信息，只能用於個人信息保護合規審計的需要，不得用於其他用途；專業機構應當對獲得的信息承擔保密責任；專業機構應當採取相應技術措施和其他必要措施，保障數據安全。
專業機構在履行個人信息保護合規審計職責時不得惡意干擾個人信息處理者的正常經營活動。
專業機構有出具虛假、失實報告等違規行為的，個人信息處理者及相關方可向履行個人信息保護職責的部門進行投訴，經履行個人信息保護職責的部門核實的，永久禁止列入個人信息保護合規審計專業機構推薦目錄。
第十五條 違反本辦法規定的，依據《中華人民共和國個人信息保護法》等法律法規處理；構成犯罪的，依法追究刑事責任。
第十六條 本辦法由國家網際網路信息辦公室負責解釋，自 年 月 日起施行。
個人信息保護合規審計參考要點
第一條 本要點依據《中華人民共和國個人信息保護法》等法律、行政法規和國家標準的強制性要求制定，為開展個人信息保護合規審計提供參考。
第二條 個人信息保護合規審計應當首先審查個人信息處理活動的合法性基礎條件，重點審查下列事項：
（四）基於個人同意處理個人信息，是否對個人同意的操作進行記錄；
第三條 對個人信息處理規則進行審計時，應當重點審查下列事項：
（三）是否明確個人信息存儲期限或者存儲期限的確定方法、到期後的處理方式，以及確保存儲期限為實現處理目的所必要的最短時間；
（五）向第三方提供個人信息的，是否明確向個人告知接收方的名稱或者姓名、聯繫方式、處理目的、處理方式和個人信息的種類，是否取得個人的單獨同意；
（六）法律、行政法規規定的其他事項。
第四條 個人信息處理者處理個人信息應當履行告知義務，審計時應當重點審查下列事項：
（四）線上告知是否提供文本信息或者通過適當方式向個人履行告知義務；
第五條 個人信息處理者存在與他人共同處理個人信息情形的，應當重點審查下列事項：
（一）是否約定各自的權利義務；
（二）各方採取的個人信息保護措施；
（三）個人信息權益保護機制；
（四）個人信息安全事件報告機制；
（六）其他法律、行政法規規定需要約定的權利和義務。
第六條 個人信息處理者存在委託處理個人信息情形的，應當重點審查下列事項：
（一）個人信息處理者在委託處理個人信息前，是否開展個人信息保護影響評估；
（二）接收方是否繼續履行個人信息處理者的義務；
（一）是否取得個人的單獨同意；
（三）接收方是否在雙方約定的處理目的、處理方式和個人信息的種類等範圍內處理個人信息；
（七）是否採取必要措施對算法和參數模型進行保護；
（十一）其他可能影響自動化決策的透明度和結果公平、公正的事項。
第十條 個人信息處理者存在公開其處理的個人信息情形的，應當重點審查下列事項：
（一）是否為維護公共安全所必需，是否存在為商業目的處理所採集信息的情況；
第十二條 個人信息處理者處理已公開個人信息的，審計時應當重點審查個人信息處理者是否存在下列違規行為：
（二）利用已公開的個人信息從事網路暴力活動；
（三）處理個人明確拒絕處理的已公開個人信息；
（四）未取得個人同意處理已公開的個人信息對個人權益造成重大影響。
第十三條 個人信息處理者處理敏感個人信息的，審計時應當重點審查下列事項：
（六）法律、行政法規規定應當取得書面同意的，是否取得書面同意；
（七）是否對處理敏感個人信息的過程進行了記錄，以保障處理敏感個人信息流程合法合規。
第十四條 個人信息處理者業務涉及處理不滿十四周歲未成年人個人信息的，審計時應當重點審查下列事項：
（一）是否制定專門的未成年人個人信息處理規則；
（二）是否向未成年人及其監護人告知未成年人個人信息的處理目的、處理方式、處理必要性及處理個人信息的種類、所採取的保護措施等；
（三）是否存在強制要求未成年人或者其監護人同意非必要的個人信息處理的行為。
第十五條 個人信息處理者存在向境外提供個人信息情形的，應當重點審查下列事項：
（四）中華人民共和國締結或者參加的國際條約、協定對向中華人民共和國境外提供個人信息的條件等有規定的，是否按照其規定執行；
（七）是否存在違規向被列入限制或者禁止個人信息提供清單的組織和個人提供個人信息的情形。
第十六條 個人信息處理者向境外提供個人信息，應當採取必要措施，保障境外接收方處理個人信息的活動達到《中華人民共和國個人信息保護法》規定的個人信息保護標準。審計時應當重點審查個人信息處理者對境外接收方採取監督措施的有效性，包括但不限於：
（一）是否了解和掌握境外接收方的情況，特別是接收方是否具備必要的個人信息保護能力；
（二）是否向境外接收方告知我國法律、行政法規對個人信息保護的要求，並要求境外接收方採取相應的保護措施；
（三）是否採取簽訂協定、定期核查等方式，督促境外接收方切實履行個人信息保護義務。
第十七條 對個人信息刪除權保障情況進行審計時，應當重點審查下列情形個人信息刪除的情況：
（一）個人信息處理目的已實現、無法實現或者為實現處理目的不再必要；
（二）停止提供產品或者服務，或者個人註銷賬號；
（三）達到與個人約定的存儲期限；
（四）個人撤回同意；
（五）因使用自動化採集技術等，無法避免採集到非必要個人信息或者未經同意的個人信息；
（六）個人信息處理者違反法律、行政法規或者違反約定處理個人信息。
第十八條 個人信息處理者應當保障個人行使個人信息權益的權利，審計時應當重點審查下列事項：
（一）是否建立個人行使權利的申請受理機制；
（二）是否向個人提供便捷的查閱、複製、轉移、更正、補充、刪除個人信息的方法；
（三）是否及時回響個人行使權利的申請，是否及時、完整、準確告知處理意見或者執行結果。
第二十條 個人信息處理者對個人信息保護承擔主體責任，審計時應當重點對個人信息處理者履行主體責任情況進行評價，包括但不限於下列事項：
（三）個人信息處理者為個人信息保護提供的人、財、物保障與企業業務規模、運營計畫、個人信息合規風險管理的匹配性。
第二十一條 個人信息處理者應當依照法律、行政法規的規定製定內部管理制度和操作規程，明確組織架構、崗位職責，建立工作流程、完善內控制度，保障個人信息處理合規與安全。審計時，應當重點對個人信息處理者個人信息保護內部管理制度和操作規程進行審查，包括但不限於：
（四）是否建立個人信息安全事件應急回響機制；
（六）是否建立暢通的個人信息保護投訴舉報受理流程；
（八）是否建立個人信息保護負責人及相關人員履職評價制度；
（十）法律、行政法規規定的其他內容。
第二十三條 對個人信息處理者教育培訓計畫的制定和實施情況進行審計時，應當重點對下列事項進行評價：
（二）培訓內容、培訓方式、培訓對象、培訓頻率等能否滿足個人信息保護需要。
第二十四條 處理個人信息達到國家網信部門規定數量的個人信息處理者應當指定個人信息保護負責人，對個人信息處理活動的合規性負責。審計時，應當重點審查下列事項：
第二十五條 對個人信息處理者開展個人信息保護影響評估情況進行審計時，應當重點對影響評估開展情況和評估內容進行審查：
第二十七條 對個人信息處理者個人信息安全事件應急回響處置情況進行評價時，應當重點考慮下列因素：
第二十九條 針對大型網際網路平台規則，應當重點審計下列事項：
（四）檢查平台規則的執行情況，通過抽樣等方式驗證平台規則是否被有效執行。
第三十條 大型網際網路平台運營者應當對其平台內產品或者服務提供者的個人信息處理活動進行監督。審計時，應當重點審查下列事項：
（二）是否定期對平台內產品或者服務提供者處理個人信息遵守法律、行政法規情況進行審核；
（三）對於嚴重違反法律、行政法規處理個人信息的產品或者服務提供者，平台是否及時停止向其提供服務。
第三十一條 大型網際網路平台運營者應當每年發布個人信息保護社會責任報告。審計時，應當重點審查社會責任報告下列內容的披露情況：
（一）個人信息保護組織架構和內部管理情況；
（二）個人信息保護能力建設情況；
（三）個人信息保護措施和成效；
（四）個人行使權利的申請受理情況；
（五）獨立監督機構履職情況；
（六）重大個人信息安全事件處理情況；
（七）法律、行政法規規定的其他情況。
（二）進入個人信息處理活動相關場所；
（三）觀察場所內發生的個人信息處理活動；
（四）調查相關業務活動及所依賴的信息系統；
（五）檢查、測試個人信息處理活動相關設備設施；
（六）調取、查閱個人信息處理活動相關數據或信息；
（七）訪談與個人信息處理活動有關的人員；
（八）就相關問題進行調查、質詢和取證；
（九）其他開展合規審計工作所必需的許可權。
第九條 個人信息處理者按照履行個人信息保護職責部門要求委託專業機構開展個人信息保護合規審計的，應當在90個工作日內完成個人信息保護合規審計；情況複雜的，報經履行個人信息保護職責的部門批准後可適當延長。
第十條 個人信息處理者按照履行個人信息保護職責部門要求委託專業機構開展個人信息保護合規審計的，應當按照本辦法要求組織實施個人信息保護合規審計，在實施必要合規審計程式後，及時將專業機構出具的個人信息保護合規審計報告報送履行個人信息保護職責的部門。個人信息保護合規審計報告應當由合規審計負責人、專業機構負責人簽字並加蓋專業機構公章。
第十一條 個人信息處理者按照履行個人信息保護職責的部門要求委託專業機構開展個人信息保護合規審計的，應當按照專業機構給出的整改建議進行整改，經專業機構覆核後將整改情況報送履行個人信息保護職責的部門。
第十三條 國家網信部門會同公安機關等國務院有關部門按照統籌規劃、合理布局、擇優推薦的原則建立個人信息保護合規審計專業機構推薦目錄，每年組織開展個人信息保護合規審計專業機構評估評價，並根據評估評價情況動態調整個人信息保護合規審計專業機構推薦目錄。
鼓勵個人信息處理者優先選擇推薦目錄中的專業機構開展個人信息保護合規審計活動。
第十四條 專業機構在從事個人信息保護合規審計活動時，應當誠信正直，公正客觀地作出合規審計職業判斷。
專業機構在履行個人信息保護合規審計職責中獲得的信息，只能用於個人信息保護合規審計的需要，不得用於其他用途；專業機構應當對獲得的信息承擔保密責任；專業機構應當採取相應技術措施和其他必要措施，保障數據安全。
專業機構在履行個人信息保護合規審計職責時不得惡意干擾個人信息處理者的正常經營活動。
專業機構有出具虛假、失實報告等違規行為的，個人信息處理者及相關方可向履行個人信息保護職責的部門進行投訴，經履行個人信息保護職責的部門核實的，永久禁止列入個人信息保護合規審計專業機構推薦目錄。
第十五條 違反本辦法規定的，依據《中華人民共和國個人信息保護法》等法律法規處理；構成犯罪的，依法追究刑事責任。
第十六條 本辦法由國家網際網路信息辦公室負責解釋，自 年 月 日起施行。
個人信息保護合規審計參考要點
第一條 本要點依據《中華人民共和國個人信息保護法》等法律、行政法規和國家標準的強制性要求制定，為開展個人信息保護合規審計提供參考。
第二條 個人信息保護合規審計應當首先審查個人信息處理活動的合法性基礎條件，重點審查下列事項：
（四）基於個人同意處理個人信息，是否對個人同意的操作進行記錄；
第三條 對個人信息處理規則進行審計時，應當重點審查下列事項：
（三）是否明確個人信息存儲期限或者存儲期限的確定方法、到期後的處理方式，以及確保存儲期限為實現處理目的所必要的最短時間；
（五）向第三方提供個人信息的，是否明確向個人告知接收方的名稱或者姓名、聯繫方式、處理目的、處理方式和個人信息的種類，是否取得個人的單獨同意；
（六）法律、行政法規規定的其他事項。
第四條 個人信息處理者處理個人信息應當履行告知義務，審計時應當重點審查下列事項：
（四）線上告知是否提供文本信息或者通過適當方式向個人履行告知義務；
第五條 個人信息處理者存在與他人共同處理個人信息情形的，應當重點審查下列事項：
（一）是否約定各自的權利義務；
（二）各方採取的個人信息保護措施；
（三）個人信息權益保護機制；
（四）個人信息安全事件報告機制；
（六）其他法律、行政法規規定需要約定的權利和義務。
第六條 個人信息處理者存在委託處理個人信息情形的，應當重點審查下列事項：
（一）個人信息處理者在委託處理個人信息前，是否開展個人信息保護影響評估；
（二）接收方是否繼續履行個人信息處理者的義務；
（一）是否取得個人的單獨同意；
（三）接收方是否在雙方約定的處理目的、處理方式和個人信息的種類等範圍內處理個人信息；
（七）是否採取必要措施對算法和參數模型進行保護；
（十一）其他可能影響自動化決策的透明度和結果公平、公正的事項。
第十條 個人信息處理者存在公開其處理的個人信息情形的，應當重點審查下列事項：
（一）是否為維護公共安全所必需，是否存在為商業目的處理所採集信息的情況；
第十二條 個人信息處理者處理已公開個人信息的，審計時應當重點審查個人信息處理者是否存在下列違規行為：
（二）利用已公開的個人信息從事網路暴力活動；
（三）處理個人明確拒絕處理的已公開個人信息；
（四）未取得個人同意處理已公開的個人信息對個人權益造成重大影響。
第十三條 個人信息處理者處理敏感個人信息的，審計時應當重點審查下列事項：
（六）法律、行政法規規定應當取得書面同意的，是否取得書面同意；
（七）是否對處理敏感個人信息的過程進行了記錄，以保障處理敏感個人信息流程合法合規。
第十四條 個人信息處理者業務涉及處理不滿十四周歲未成年人個人信息的，審計時應當重點審查下列事項：
（一）是否制定專門的未成年人個人信息處理規則；
（二）是否向未成年人及其監護人告知未成年人個人信息的處理目的、處理方式、處理必要性及處理個人信息的種類、所採取的保護措施等；
（三）是否存在強制要求未成年人或者其監護人同意非必要的個人信息處理的行為。
第十五條 個人信息處理者存在向境外提供個人信息情形的，應當重點審查下列事項：
（四）中華人民共和國締結或者參加的國際條約、協定對向中華人民共和國境外提供個人信息的條件等有規定的，是否按照其規定執行；
（七）是否存在違規向被列入限制或者禁止個人信息提供清單的組織和個人提供個人信息的情形。
第十六條 個人信息處理者向境外提供個人信息，應當採取必要措施，保障境外接收方處理個人信息的活動達到《中華人民共和國個人信息保護法》規定的個人信息保護標準。審計時應當重點審查個人信息處理者對境外接收方採取監督措施的有效性，包括但不限於：
（一）是否了解和掌握境外接收方的情況，特別是接收方是否具備必要的個人信息保護能力；
（二）是否向境外接收方告知我國法律、行政法規對個人信息保護的要求，並要求境外接收方採取相應的保護措施；
（三）是否採取簽訂協定、定期核查等方式，督促境外接收方切實履行個人信息保護義務。
第十七條 對個人信息刪除權保障情況進行審計時，應當重點審查下列情形個人信息刪除的情況：
（一）個人信息處理目的已實現、無法實現或者為實現處理目的不再必要；
（二）停止提供產品或者服務，或者個人註銷賬號；
（三）達到與個人約定的存儲期限；
（四）個人撤回同意；
（五）因使用自動化採集技術等，無法避免採集到非必要個人信息或者未經同意的個人信息；
（六）個人信息處理者違反法律、行政法規或者違反約定處理個人信息。
第十八條 個人信息處理者應當保障個人行使個人信息權益的權利，審計時應當重點審查下列事項：
（一）是否建立個人行使權利的申請受理機制；
（二）是否向個人提供便捷的查閱、複製、轉移、更正、補充、刪除個人信息的方法；
（三）是否及時回響個人行使權利的申請，是否及時、完整、準確告知處理意見或者執行結果。
第二十條 個人信息處理者對個人信息保護承擔主體責任，審計時應當重點對個人信息處理者履行主體責任情況進行評價，包括但不限於下列事項：
（三）個人信息處理者為個人信息保護提供的人、財、物保障與企業業務規模、運營計畫、個人信息合規風險管理的匹配性。
第二十一條 個人信息處理者應當依照法律、行政法規的規定製定內部管理制度和操作規程，明確組織架構、崗位職責，建立工作流程、完善內控制度，保障個人信息處理合規與安全。審計時，應當重點對個人信息處理者個人信息保護內部管理制度和操作規程進行審查，包括但不限於：
（四）是否建立個人信息安全事件應急回響機制；
（六）是否建立暢通的個人信息保護投訴舉報受理流程；
（八）是否建立個人信息保護負責人及相關人員履職評價制度；
（十）法律、行政法規規定的其他內容。
第二十三條 對個人信息處理者教育培訓計畫的制定和實施情況進行審計時，應當重點對下列事項進行評價：
（二）培訓內容、培訓方式、培訓對象、培訓頻率等能否滿足個人信息保護需要。
第二十四條 處理個人信息達到國家網信部門規定數量的個人信息處理者應當指定個人信息保護負責人，對個人信息處理活動的合規性負責。審計時，應當重點審查下列事項：
第二十五條 對個人信息處理者開展個人信息保護影響評估情況進行審計時，應當重點對影響評估開展情況和評估內容進行審查：
第二十七條 對個人信息處理者個人信息安全事件應急回響處置情況進行評價時，應當重點考慮下列因素：
第二十九條 針對大型網際網路平台規則，應當重點審計下列事項：
（四）檢查平台規則的執行情況，通過抽樣等方式驗證平台規則是否被有效執行。
第三十條 大型網際網路平台運營者應當對其平台內產品或者服務提供者的個人信息處理活動進行監督。審計時，應當重點審查下列事項：
（二）是否定期對平台內產品或者服務提供者處理個人信息遵守法律、行政法規情況進行審核；
（三）對於嚴重違反法律、行政法規處理個人信息的產品或者服務提供者，平台是否及時停止向其提供服務。
第三十一條 大型網際網路平台運營者應當每年發布個人信息保護社會責任報告。審計時，應當重點審查社會責任報告下列內容的披露情況：
（一）個人信息保護組織架構和內部管理情況；
（二）個人信息保護能力建設情況；
（三）個人信息保護措施和成效；
（四）個人行使權利的申請受理情況；
（五）獨立監督機構履職情況；
（六）重大個人信息安全事件處理情況；
（七）法律、行政法規規定的其他情況。
