科技日報記者 崔爽

近日，國家網信辦公布《個人信息保護合規審計管理辦法》（以下簡稱《管理辦法》）。該《管理辦法》自2025年5月1日起施行。

國家網信辦有關負責人介紹，《管理辦法》對個人信息保護合規審計活動的開展、合規審計機構的選擇、合規審計的頻次、個人信息處理者和專業機構在合規審計中的義務等作出細化規定，旨在為個人信息處理者開展個人信息保護合規審計提供系統性、針對性、可操作性的規范，提升個人信息處理活動合法合規水平。

“《管理辦法》是對《中華人民共和國個人信息保護法》審計要求的細化落實，為個人信息保護合規審計活動提供重要依據，是個人信息保護工作的里程碑。”中國網絡空間安全協會副秘書長杜阿寧表示。

個人信息保護合規審計是指對個人信息處理者的個人信息處理活動是否符合法律、行政法規的規定進行審查和評價的監督活動。

《管理辦法》明確了個人信息處理者開展合規審計的兩種情形。一是個人信息處理者自行開展合規審計的，應當由個人信息處理者內部機構或者委托專業機構定期對其處理個人信息遵守法律、行政法規的情況進行合規審計。處理超過1000萬人個人信息的個人信息處理者，應當每兩年至少開展一次個人信息保護合規審計。二是履行個人信息保護職責的部門發現個人信息處理活動存在較大風險、可能侵害眾多個人的權益或者發生個人信息安全事件的，可以要求個人信息處理者委托專業機構對個人信息處理活動進行合規審計。

在國家網信辦數據與技術保障中心副主任王志成看來，這體現了政府監管和行業自律二者并重的治理思路，“推動政府監管和行業自律形成合力，是提升數據治理能力的現實需要，也是《管理辦法》制定中著重考慮的問題”。

北京航空航天大學法學院副教授趙精武特別提到，為了實現個人信息保護合規的透明化，《管理辦法》將大型網絡平臺的個人信息保護社會責任報告納入審計事項，形成個人信息保護從落地實施到事后評估監督的制度閉環，也讓公眾能夠更為直觀地了解自己的個人信息究竟如何被處理和安全保護。

“《管理辦法》的出臺是我國個人信息保護領域立法和監管體系的重要補充，標志著我國在個人信息保護合規治理方面邁出了實質性的一步。”中國人民大學法學院教授、未來法治研究院副院長丁曉東表示。

丁曉東介紹，合規審計已經成為全球范圍內個人信息保護領域的標配，如美國聯邦貿易委員會在2010年代便通過行政和解協議的方式要求谷歌和臉書通過第三方進行隱私審計，歐盟《通用數據保護條例》同樣較早引入數據保護審計制度。然而，全球范圍內對個人信息保護領域審計制度的最佳實踐尚未獲得共識。在他看來，《管理辦法》首次系統性地構建了個人信息處理活動的合規審計框架，為個人信息處理者的合規實踐與監管部門的執法提供了具體指引，在明確審計的類型與形式、強化審計的獨立性與專業性、規范依部門要求開展的審計程序、避免審計對個人信息處理者造成不必要的負擔、建立全面的審計指引等方面給出了“中國方案”。

趙精武同樣認為，《管理辦法》合理設置不同的審計模式，細化個人信息保護合規審計的重點審查事項等創新之處，均立足于我國個人信息保護制度特點，提供了不同于任何一個國家的“中國答案”。

“《管理辦法》的出臺是我國個人信息保護事業進程中的重要節點，必將為提高我國個人信息保護水平、提升我國數據安全治理監管能力發揮重要作用。”王志成說。