智读政策 | 重磅新规！深度解读个人信息保护合规审计避坑要点

申请加入数据安全共同体计划，请在本公众号回复“申请表”获取下载链接

《办法》属于专项部门规章，其聚焦个人信息保护合规审计，明确开展过程的审计主体、程序、内容及责任等相关内容，为个人信息保护合规审计开展和落地提供明确的规范性要求和指引，具有强制执行力。个人信息处理者自行开展或者按照履行个人信息保护职责的部门要求委托专业机构开展个人信息保护合规审计，应当参照《办法》及其附件《个人信息保护合规审计指引》。

从强制审计对象以及重点监管对象而言，以下几大类企业需根据《办法》采取合规措施，包括开展合规审计和设置相应的职能岗位或部门:

1.自查自纠工作先行：应当尽快梳理个人信息处理的基本情况和合规现状，确认企业是否落入适用个人信息合规审计的范畴。如落入该新规的管辖范围，应及早开展合规工作。

2.制定或完善合规策略：参考《办法》及其附件指引，建立个人信息合规义务清单、合规管理手册、合规监督检查清单。《办法》的指引明确列举了应当重点审计的内容，就是企业遵守个人信息保护的相关法律、行政法规的重点义务清单，为企业采取合规措施落地法律规要求，提供非常关键的指引。

3.组织保障：依据或参考《办法》设置或调整个人信息保护负责人或相应部门的岗位职责。处理超过100万人以上信息的企业，应当设置个人信息保护负责人一岗并明确该岗位的职责，其职责应覆盖个人信息保护合规审计执行工作和附件指引第二十二条的关于个人信息重大决策的提议和建议、不合规事宜的制止和纠正等内容；此外，重要互联网平台服务、用户数量巨大、业务类型复杂的个人信息处理者，应着手筹备物色和聘任外部成员组成的外部独立监督机构。

4.资源与技术投入：结合《办法》的内容，投入必要的个人信息加密、去标识化、权限控制等技术工具、平台工具等资源支撑，以及寻求专业支持，包括聘任具备个人信息保护相关的工作经历和专业知识的负责人、聘请已通过认证的第三方机构开展审计、合规咨询服务。

5.跟踪监管及行业的动态：关注网信等有关部门后续细则、国家标准及案例指引，以及行业头部的合规动态，及时调整企业内部的合规策略。

结合北源数据合规团队及其技术合作伙伴深圳市网安计算机安全检测技术有限公司组成的“法律+技术”专业服务团队为金融行业、物流行业、互联网行业、生物技术及医疗行业等多家企业提供过个人信息保护审计服务经验，提供以下实操参考：

（一）注意合规审计场景的全面性，避免遗漏或混淆个人信息处理场景，导致合规监督检查“死角”。其需审计人员准确掌握个人信息处理者、业务和信息系统（含前端及系统平台甚至服务器）、具体个人信息处理活动、对应的安全措施、所涉人员及第三方等信息，方可避免遗漏或对于个人信息处理活动性质的误判。

（二）注意审计依据的准确、完整和可适用性，应当结合企业审计对象（含业务场景和个人信息处理行为）梳理可适用的法规依据，避免审计依据及要求错漏情形。

（三）注重审计的开展过程的专业性和独立性，包括严谨审计流程和专业且独立的审计人员。对应的审计人员既需了解并掌握个人信息保护的相关法律要求，同时具备快速了解企业产品或业务以及数据安全技术工具及措施等专业背景知识。

（四）注重审计结论及支撑证据的客观性和可追溯性，要求审计过程结论客观、公正且有可追溯的证据支撑。该要求不仅在审计讨论的问题梳理、报告编写、事后证据文件的梳理均有要求。