《个人信息保护合规审计管理办法》解读
2025-02-25
国信办公布的《个人信息保护合规审计管理办法》（下文简称《办法》）将于2025年5月1日起施行。虽然《办法》是部门规章，但作为《个保法》、《网数条例》的下位文件，是个人信息处理者依法合规落实个人信息保护的必要依据。
《办法》的附件《个人信息保护合规审计指引》（下文简称《指引》）更是明确给出了审查事项和审查内容，审查事项共26项，审查内容共112条。换个角度，个人信息处理者可以把《指引》当成个人信息保护合规指南。
01 术语与定义
1.个人信息保护合规审计
根据《办法》，个人信息保护合规审计是指对个人信息处理者的个人信息处理活动是否遵守法律、行政法规的情况进行审查和评价的监督活动。
2.个人信息
根据《个保法》，个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。
个人信息的范围极其广泛，导致在识别时极易疏漏。常见个人信息如下：
3.个人信息处理者
根据《个保法》，个人信息处理者是指在个人信息处理活动中自主决定处理目的、处理方式的组织、个人。
个人信息处理活动包括个人信息的收集、存储、使用、加工、传输、提供、公开、删除等活动。
4.专业机构
《办法》并未对专业机构进行定义，但对专业机构提出了资质要求。具体包括：专业机构应当具备开展个人信息保护合规审计的能力，有与服务相适应的审计人员、场所、设施和资金等（很像对等保测评机构和密评机构的要求）。而证明专业机构资质的常见方式就是通过认证（还有品牌，但这个非一日之功），包括机构认证（暂不明确）和人员认证。
5.保护部门
沿用了《个保法》第60条的说法，指国家网信部门和其他履行个人信息保护职责的部门。例如公安部门、工信部门。
02适用范围
本《办法》的适用范围为：在中华人民共和国境内（不含香港、澳门、台湾）开展个人信息保护合规审计。与上位法《个保法》保持一致。
03适用对象
广义上看，《办法》的适用对象为：中华人民共和国境内（不含香港、澳门、台湾）的个人信息处理者。
狭义上看，由于《办法》第5条第三款、第12条、第19条的规定，《办法》的适用对象为处理100万人以上个人信息或者10万人以上敏感个人信息的个人信息处理者。具体表现为在中华人民共和国境内（不含香港、澳门、台湾）运营的外资企业、国有企业、民营企业；不具有管理公共事务职能的事业单位与社会团体。
04 个人信息处理者义务
1.个人信息处理者自行开展合规审计
当个人信息处理者自行开展个人信息保护合规审计时，要求如下：
《办法》仅对处理超过1000万人个人信息的个人信息处理者规定了两年一次的合规审计周期，但未明确其他规模的个人信息处理者的合规审计周期。对于处理超过100万人个人信息的个人信息处理者，《办法》要求指定个人信息保护负责人，负责个人信息处理者的个人信息保护合规审计工作。
此外，《办法》还要求提供重要互联网平台服务、用户数量巨大、业务类型复杂的个人信息处理者，应当成立主要由外部成员组成的独立机构对个人信息保护合规审计情况进行监督。这个定义比较模糊，可以参考《网数条例》对大型网络平台的定义：注册用户5000万以上或者月活跃用户1000万以上，业务类型复杂，网络数据处理活动对国家安全、经济运行、国计民生等具有重要影响的网络平台。《办法》要求的对象包括大型网络平台和准大型网络平台（规模接近大型网络平台，在国家安全、经济运行、国计民生的影响方面略逊一筹）。
2.保护部门要求开展合规审计
当个人信息处理者按照保护部门要求开展合规审计时，要求如下：
区别于自行开展合规审计，当保护部门要求个人信息处理者开展合规审计时，需要额外报送由专业机构出具的合规审计报告以及整改报告（与等保测评、密评非常相似）。
05专业机构义务
根据《办法》，专业机构需要履行的义务如下：
虽然要负责人签字和不得对同一审计对象连续三次开展审计这些要求看起来好像没什么意义，但证监会用实践告诉我们：这些都是有意义的。签字的意义可参考——中国证监会行政处罚决定书（普华永道、汤振峰、朱立为、蔡秀娟）
不得连续审计的意义可参考——中国证监会依法处罚恒大地产审计机构普华永道 。
06保护部门义务
《办法》第16条“保护部门对个人信息处理者开展个人信息保护合规审计情况进行监督检查。”虽然只有一句话，但极其重要。
保护部门可以通过监督检查，发现《办法》第5条第一、第二款情形（即存在较大风险或侵害众多个人权益）；保护部门也可以在发现个人信息处理者存在《办法》第5条第三款情形后（发生个人信息安全事件），对个人信息处理者开展监督检查，并要求其开展合规评估，报送评估报告和整改报告。
07 后语
1.对于个人信息处理者
《办法》的出台，旨在提醒个人信息处理者，需要在个人信息合理利用与保护个人信息权益之间取得平衡。换句话说，需要在业务与安全之间取得平衡。从开展合规审计的频率来看，即使是大型或者准大型网络平台，两年一次也不算高频。
选择内审还是外审？其实都行。为了确保内审的顺利开展，可能需要内部人员取得PIPCA的人员认证。而外审只要报预算就行了。
考虑到保护部门会开展监督检查，个人信息处理者应该妥善保管合规审计报告和整改报告，作为检查材料备查。
2.对于专业机构
专业机构能干的事大概有三件：外审、咨询、协助监督检查。
干外审需要专业机构取得PIPCA的机构认证，也需要具有PIPCA认证的专业人员。当然如果机构和人员自身的能力足够强，不需要用认证证书向客户证明自己的专业性，我觉得也没有任何问题。毕竟干活的是人，不是证书。
干咨询需要专业机构依据《指引》，助力个人信息处理者全面建立合规体系。之所以说全面，首先是因为个人信息处理者或多或少做了一些个人信息保护工作（例如建立《隐私政策》），只是不够完善；其次是因为《指引》毕竟有112条要求，工作量巨大。
在实践中，专业机构可能需要协助保护部门开展监督检查。对于协助监督检查中获得的个人信息、商业秘密和保密商务信息，应当依法予以保密，不得泄露或非法向他人提供。
对于能力较强或者具有多种资质的专业机构，可以采用结合审核的方法，一次进场，出具多份报告。
以上是对《个人信息保护合规审计管理办法》的相关解读，欢迎关注我们，了解更多网络安全动态及专业分享。
更多新闻
如何获取帮助?
请联系我们！
联系我们
浙江区域联系方式：0571-87759285
上海区域联系方式：13116762668
安徽区域联系方式：18156066590
广西区域联系方式：15678890066
北京区域联系方式：18601383688
其他区域联系方式：15158109776
总部地址：浙江杭州滨江区长河路590号东忠科技园4幢2楼
关注公众号
