网信办：处理超100万人个人信息者应每年开展信息保护合规审计

8月3日，国家网信办就《个人信息保护合规审计管理办法（征求意见稿）》公开征求意见，意见反馈截止时间为2023年9月2日。

其中提出，处理超过100万人个人信息的个人信息处理者，应当每年至少开展一次个人信息保护合规审计;其他个人信息处理者应当每二年至少开展一次个人信息保护合规审计。

个人信息保护合规审计应当首先审查个人信息处理活动的合法性基础条件，重点审查的事项包括:处理个人信息是否取得个人同意，该同意是否在个人信息主体充分知情的前提下自愿、明确作出;基于个人同意处理个人信息，个人信息的处理目的、处理方式和处理的个人信息种类发生变更的，是否重新取得个人同意;基于个人同意处理个人信息，是否为个人提供便捷的撤回同意的方式等。

以下为《个人信息保护合规审计管理办法（征求意见稿）》全文:

第一条为指导、规范个人信息保护合规审计活动，提高个人信息处理活动合规水平，保护个人信息权益，根据《中华人民共和国个人信息保护法》等法律、行政法规和国家有关规定，制定本办法。

第二条个人信息处理者定期开展个人信息保护合规审计，或者按照履行个人信息保护职责的部门要求委托专业机构对其个人信息处理活动进行合规审计，以及对个人信息保护合规审计活动的监督管理适用本办法。

第三条本办法所称个人信息保护合规审计，是指对个人信息处理者的个人信息处理活动是否遵守法律、行政法规的情况进行审查和评价的监督活动。

第四条处理超过100万人个人信息的个人信息处理者，应当每年至少开展一次个人信息保护合规审计;其他个人信息处理者应当每二年至少开展一次个人信息保护合规审计。

第五条个人信息处理者自行开展个人信息保护合规审计，可根据实际情况，由本组织内部机构或者委托专业机构按照本办法要求开展。

第六条履行个人信息保护职责的部门在履行职责中，发现个人信息处理活动存在较大风险或者发生个人信息安全事件的，可以要求个人信息处理者委托专业机构对其个人信息处理活动进行合规审计。

第七条个人信息处理者按照履行个人信息保护职责的部门要求开展个人信息保护合规审计的，应当在收到通知后尽快按照要求选定专业机构进行个人信息保护合规审计。

第八条个人信息处理者按照履行个人信息保护职责的部门要求委托专业机构开展个人信息保护合规审计的，应当保证专业机构能够正常行使下列权限:

（一）要求提供或者协助查阅相关文件或资料;

（二）进入个人信息处理活动相关场所;

（三）观察场所内发生的个人信息处理活动;

（四）调查相关业务活动及所依赖的信息系统;

（五）检查、测试个人信息处理活动相关设备设施;

（六）调取、查阅个人信息处理活动相关数据或信息;

（七）访谈与个人信息处理活动有关的人员;

（八）就相关问题进行调查、质询和取证;

（九）其他开展合规审计工作所必需的权限。

第九条个人信息处理者按照履行个人信息保护职责部门要求委托专业机构开展个人信息保护合规审计的，应当在90个工作日内完成个人信息保护合规审计;情况复杂的，报经履行个人信息保护职责的部门批准后可适当延长。

第十条个人信息处理者按照履行个人信息保护职责部门要求委托专业机构开展个人信息保护合规审计的，应当按照本办法要求组织实施个人信息保护合规审计，在实施必要合规审计程序后，及时将专业机构出具的个人信息保护合规审计报告报送履行个人信息保护职责的部门。个人信息保护合规审计报告应当由合规审计负责人、专业机构负责人签字并加盖专业机构公章。

第十一条个人信息处理者按照履行个人信息保护职责的部门要求委托专业机构开展个人信息保护合规审计的，应当按照专业机构给出的整改建议进行整改，经专业机构复核后将整改情况报送履行个人信息保护职责的部门。

第十二条执行个人信息保护合规审计的专业机构应当保持独立性和客观性，连续为同一审计对象开展个人信息保护合规审计不得超过三次。

第十三条国家网信部门会同公安机关等国务院有关部门按照统筹规划、合理布局、择优推荐的原则建立个人信息保护合规审计专业机构推荐目录，每年组织开展个人信息保护合规审计专业机构评估评价，并根据评估评价情况动态调整个人信息保护合规审计专业机构推荐目录。

鼓励个人信息处理者优先选择推荐目录中的专业机构开展个人信息保护合规审计活动。

第十四条专业机构在从事个人信息保护合规审计活动时，应当诚信正直，公正客观地作出合规审计职业判断。

专业机构不得转包委托第三方开展个人信息保护合规审计。

专业机构在履行个人信息保护合规审计职责中获得的信息，只能用于个人信息保护合规审计的需要，不得用于其他用途;专业机构应当对获得的信息承担保密责任;专业机构应当采取相应技术措施和其他必要措施，保障数据安全。

专业机构在履行个人信息保护合规审计职责时不得恶意干扰个人信息处理者的正常经营活动。

专业机构有出具虚假、失实报告等违规行为的，个人信息处理者及相关方可向履行个人信息保护职责的部门进行投诉，经履行个人信息保护职责的部门核实的，永久禁止列入个人信息保护合规审计专业机构推荐目录。

第十五条违反本办法规定的，依据《中华人民共和国个人信息保护法》等法律法规处理;构成犯罪的，依法追究刑事责任。

第十六条本办法由国家互联网信息办公室负责解释，自年 月 日起施行。