近日，國家互聯網信息辦公室公布《個人信息保護合規(guī)審計管理辦法》（以下簡稱《辦法》），自2025年5月1日起施行。

國家互聯網信息辦公室有關負責人表示，《中華人民共和國個人信息保護法》《網絡數據安全管理條例》對個人信息處理者開展個人信息保護合規(guī)審計作了規(guī)定，《辦法》對合規(guī)審計活動的開展、合規(guī)審計機構的選擇、合規(guī)審計的頻次、個人信息處理者和專業(yè)機構在合規(guī)審計中的義務等作出細化規(guī)定，旨在為個人信息處理者開展個人信息保護合規(guī)審計提供系統(tǒng)性、針對性、可操作性的規(guī)范，提升個人信息處理活動合法合規(guī)水平，保護個人信息權益。

《辦法》明確了個人信息處理者開展合規(guī)審計的兩種情形。一是個人信息處理者自行開展合規(guī)審計的，應當由個人信息處理者內部機構或者委托專業(yè)機構定期對其處理個人信息遵守法律、行政法規(guī)的情況進行合規(guī)審計。處理超過1000萬人個人信息的個人信息處理者，應當每兩年至少開展一次個人信息保護合規(guī)審計。二是履行個人信息保護職責的部門發(fā)現個人信息處理活動存在較大風險、可能侵害眾多個人的權益或者發(fā)生個人信息安全事件的，可以要求個人信息處理者委托專業(yè)機構對個人信息處理活動進行合規(guī)審計。

《辦法》明確了開展合規(guī)審計的個人信息處理者應當履行的義務。規(guī)定個人信息處理者按照履行個人信息保護職責的部門要求開展合規(guī)審計的，應當為專業(yè)機構正常開展合規(guī)審計工作提供必要支持并承擔審計費用，在限定時間內完成合規(guī)審計，報送合規(guī)審計報告并進行整改。

《辦法》明確了專業(yè)機構在合規(guī)審計中的義務。一是應當具備開展個人信息保護合規(guī)審計的能力，有與服務相適應的審計人員、場所、設施和資金等。二是應當遵守法律法規(guī)，誠信正直，公正客觀地作出合規(guī)審計職業(yè)判斷，對履職中知悉的個人信息、商業(yè)秘密、保密商務信息等依法予以保密。三是不得轉委托其他機構開展個人信息保護合規(guī)審計。四是同一專業(yè)機構及其關聯機構、同一合規(guī)審計負責人不得連續(xù)三次以上對同一審計對象開展個人信息保護合規(guī)審計。

《辦法》以附件形式提供了《個人信息保護合規(guī)審計指引》，對個人信息保護相關法律、行政法規(guī)的關鍵要點作了梳理，從合規(guī)審計的角度進行了細化。個人信息處理者自行開展或者按照履行個人信息保護職責的部門要求委托專業(yè)機構開展個人信息保護合規(guī)審計，應當參照《個人信息保護合規(guī)審計指引》。

《辦法》同時對履行個人信息保護職責的部門的監(jiān)督管理責任和個人信息處理者、專業(yè)機構違反《辦法》規(guī)定的法律責任等作出了規(guī)定。

（來源：中國網信網）