《个人信息保护合规审计管理办法》及指引的重点解读.docx

《个人信息保护合规审计管理办法》及指引的重点解读

随着《个人信息保护合规审计管理办法》出台，个人信息保护合规审计将成企业必修课。合规审计不再是选择题，而是企业生存发展的必答题——拒不履行审计义务将面临法律责任。下文中我们将拆解26项审查红线，系统解析监管部门穿透式审计的三大证据链锁定标准。寄望早布局者赢先机，善合规者行更远。亦期待本文能满足屏幕前诸君的参阅之需。

2025年2月14日，国家互联网信息办公室公布《个人信息保护合规审计管理办法》（以下简称“合规审计办法”），并将于2025年5月1日起施行。“合规审计办法”的出台，是落实《中华人民共和国个人信息保护法》《网络数据安全管理条例》中关于个人信息保护合规审计的具体举措，为开展个人信息保护合规审计的具体情形和方式方法等方面均提供了明确指引，对保护个人信息权益具有重要意义和作用。

如下图1所示，“合规审计办法”对个人信息保护合规审计的主体、合规审计的方式、个人信息处理者和专业机构在合规审计中的义务等方面均作出具体规定。

图1.“合规审计办法”主要内容

我们将对“合规审计的依据”“合规审计的主体”“合规审计的实施”“合规审计的重点审查内容”以及“合规审计办法”对企业和机构个人信息保护合规指引的意义等重点内容进行分析。

个人信息保护合规审计的依据

根据“合规审计办法”第二条，个人信息保护合规审计是指对个人信息处理者的个人信息处理活动是否遵守法律、行政法规的情况进行审查和评价的监督活动。因此，个人信息保护合规审计的依据是法律及行政法规的规定，如《民法典》《个人信息保护法》《未成年保护法》《突发事件应对法》《网络安全法》《网络数据安全管理条例》《关键信息基础设施安全保护条例》等有关法律法规中关于个人信息保护的有关规定；个人信息保护合规审计的对象是个人信息处理活动，包括收集、使用、共享、存储等活动；个人信息保护合规审计的方式是进行审查和评价等。

目前，相关法律法规主要包括：

序号

效力等级

法律法规名称

1

法律

《民法典》

2

《网络安全法》

3

《数据安全法》

4

《个人信息保护法》

5

《未成年人保护法》

6

《消费者权益保护法》

7

《电子商务法》

...

1

行政法规

《网络数据安全管理条例》

2

《未成年人网络保护条例》

3

《消费者权益保护法实施条例》

4

《关键信息基础设施安全保护条例》

5

《征信业管理条例》

...

其中直接的法律依据是：

《个人信息保护法》第五十四条规定，个人信息处理者应当定期对其处理个人信息遵守法律、行政法规的情况进行合规审计。

《个人信息保护法》第六十四条规定，履行个人信息保护职责的部门在履行职责中，发现个人信息处理活动存在较大风险或者发生个人信息安全事件的，可以按照规定的权限和程序对该个人信息处理者的法定代表人或者主要负责人进行约谈，或者要求个人信息处理者委托专业机构对其个人信息处理活动进行合规审计。

《网络数据安全管理条例》第二十七条规定，网络数据处理者应当定期自行或者委托专业机构对其处理个人信息遵守法律、行政法规的情况进行合规审计。

以上规定明确了个人信息保护合规审计的两种情形：

个人信息处理者自行开展合规审计；

按照履行个人信息保护职责的部门要求，委托专业机构开展合规审计。

“合规审计办法”中规定的进行个人信息保护合规审计的主体，是指个人信息处理者，根据“合规审计办法”的规定其中涉及的个人信息保护合规审计主体可以理解区分为两类：

需主动进行合规审计的个人信息处理者（即第四条的有关规定）；

监管部门可以强制要求进行合规审计的个人信息处理者（即第五条的有关规定）。

图2.合规审计主体

需说明的是，本“合规审计办法”中所明确的主动进行个人信息保护合规审计的主体存在个人信息处理人数及审计频次两方面的要求；同时，要求进行审查的审查对象，就同一事项不得要求重复审查，以上规定平衡了监管强度与企业合规成本等方面。

个人信息保护合规审计的实施

“合规审计办法”对于个人信息保护合规审计的实施，从实施方式、相关主体义务、实施程序等方面要求进一步明确，为企业进一步提高了可操作性。

（一）合规审计的实施方式

“合规审计办法”与《网络数据安全管理条例》中对于合规审计的实施方式保持一致，即可以通过个人信息处理者内部机构或者委托专业机构两种方式进行审计。

但本“合规审计办法”具体明确了以下事项：

前文所述的强制审查的三类情形，监管机构可以要求委托专业机构进行合规审计。

对合规审计专业机构的要求，即应当具备开展个人信息保护合规审计的能力，有与服务相适应的审计人员、场所、设施和资金等。

因此，目前对于选择哪家专业机构并没有强制性要求，但明确规定了专业机构应当具备开展个人信息保护合规审计的能力，有与服务相适应的审计人员、场所、设施和资金等。结合“合规审计办法”第