《个人信息保护法》

第五十四条　个人信息处理者应当定期对其处理个人信息遵守法律、行政法规的情况进行合规审计。

第六十四条　履行个人信息保护职责的部门在履行职责中，发现个人信息处理活动存在较大风险或者发生个人信息安全事件的，可以按照规定的权限和程序对该个人信息处理者的法定代表人或者主要负责人进行约谈，或者要求个人信息处理者委托专业机构对其个人信息处理活动进行合规审计。个人信息处理者应当按照要求采取措施，进行整改，消除隐患。

《网络数据安全管理条例》

第二十七条 网络数据处理者应当定期自行或者委托专业机构对其处理个人信息遵守法律、行政法规的情况进行合规审计。

《未成年人网络保护条例》

第三十七条 个人信息处理者应当自行或者委托专业机构每年对其处理未成年人个人信息遵守法律、行政法规的情况进行合规审计，并将审计情况及时报告网信等部门。

2. 按照履行个人信息保护职责的部门要求，委托专业机构开展合规审计。

第八条 个人信息处理者按照保护部门要求开展个人信息保护合规审计的，应当为专业机构正常开展个人信息保护合规审计工作提供必要支持，并承担审计费用。

第九条 个人信息处理者按照保护部门要求开展个人信息保护合规审计的，应当按照保护部门要求选定专业机构，在限定时间内完成个人信息保护合规审计；情况复杂的，报保护部门批准后，可以适当延长。

第十条 个人信息处理者按照保护部门要求开展个人信息保护合规审计的，在完成合规审计后，应当将专业机构出具的个人信息保护合规审计报告报送保护部门。

个人信息保护合规审计报告应当由专业机构主要负责人、合规审计负责人签字并加盖专业机构公章。

第十一条 个人信息处理者按照保护部门要求开展个人信息保护合规审计的，应当按照保护部门要求对合规审计中发现的问题进行整改。在整改完成后15个工作日内，向保护部门报送整改情况报告。

第十二条 处理100万人以上个人信息的个人信息处理者应当指定个人信息保护负责人，负责个人信息处理者的个人信息保护合规审计工作。

提供重要互联网平台服务、用户数量巨大、业务类型复杂的个人信息处理者，应当成立主要由外部成员组成的独立机构对个人信息保护合规审计情况进行监督。

《合规审计管理办法》

第三条 个人信息处理者自行开展个人信息保护合规审计的，应当由个人信息处理者内部机构或者委托专业机构定期对其处理个人信息遵守法律、行政法规的情况进行合规审计。

第四条 处理超过1000万人个人信息的个人信息处理者，应当每两年至少开展一次个人信息保护合规审计。

第五条 个人信息处理者有以下情形之一的，国家网信部门和其他履行个人信息保护职责的部门（以下统称为保护部门），可以要求个人信息处理者委托专业机构对个人信息处理活动进行合规审计：

（一）发现个人信息处理活动存在严重影响个人权益或者严重缺乏安全措施等较大风险的；

（二）个人信息处理活动可能侵害众多个人的权益的；

（三）发生个人信息安全事件，导致100万人以上个人信息或者10万人以上敏感个人信息泄露、篡改、丢失、毁损的。

对同一个人信息安全事件或者风险，不得重复要求个人信息处理者委托专业机构开展个人信息保护合规审计。

十、对个人信息处理者基于个人同意公开个人信息进行合规审计的，应当重点审查下列事项：

（一）个人信息处理者公开其处理的个人信息前是否取得个人单独同意，该授权是否真实、有效，是否存在违背个人意愿将个人信息予以公开的情况；

（二）个人信息处理者公开个人信息前，是否进行个人信息保护影响评估。

第二十五条　个人信息处理者不得公开其处理的个人信息，取得个人单独同意的除外。

第五十五条　有下列情形之一的，个人信息处理者应当事前进行个人信息保护影响评估，并对处理情况进行记录：

（一）处理敏感个人信息；

（二）利用个人信息进行自动化决策；

（三）委托处理个人信息、向其他个人信息处理者提供个人信息、公开个人信息；

（四）向境外提供个人信息；

（五）其他对个人权益有重大影响的个人信息处理活动。

十一、个人信息处理者在公共场所安装图像收集、个人身份识别设备的，应当重点对其安装图像收集、个人信息身份识别设备的合法性及所收集个人信息的用途进行审查。审查内容包括但不限于：

（一）是否为维护公共安全所必需，是否为商业目的处理所收集的个人信息；

（二）是否设置了显著的提示标识；

（三）个人信息处理者所收集的个人图像、身份识别信息用于维护公共安全以外用途的，是否取得个人单独同意。

第二十六条　在公共场所安装图像采集、个人身份识别设备，应当为维护公共安全所必需，遵守国家有关规定，并设置显著的提示标识。所收集的个人图像、身份识别信息只能用于维护公共安全的目的，不得用于其他目的；取得个人单独同意的除外。

十二、对个人信息处理者处理已公开的个人信息进行合规审计的，应当重点审查个人信息处理者是否存在下列违法违规行为：

（一）向已公开个人信息中的电子邮箱、手机号等发送与其公开目的无关的商业信息；

（二）利用已公开的个人信息从事网络暴力、传播网络谣言和虚假信息等活动；

（三）处理个人明确拒绝处理的已公开个人信息；

（四）对个人权益有重大影响，未取得个人同意；

（五）收集、留存或处理已公开个人信息的规模、时间或使用目的超出合理范围。

第二十七条　个人信息处理者可以在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息；个人明确拒绝的除外。个人信息处理者处理已公开的个人信息，对个人权益有重大影响的，应当依照本法规定取得个人同意。

标准范围：

标准的内容框架如下图所示：

审计实施流程解析：

个人信息保护合规审计的流程包含：审计计划、审计准备、审计实施、审计报告、问题整改、归档管理，这六个阶段。

《网络安全标准实践指南——个人信息保护合规审计要求》附录A个人信息保护合规审计证据：A.1审计证据类型。

个人信息处理者应保证审计人员能够获取审计证据，并对提供资料的适当性、充分性、真实性负责。审计证据应能体现个人信息处理者的个人信息保护情况，包括但不限于：

价值（一）——风险识别与防控屏障

作用：系统性扫描收集、存储、使用、共享、转让、删除等全流程风险点（如超范围采集、安全漏洞、违规共享），评估现有措施有效性。

要求：审计须覆盖数据处理全生命周期，采用文档审阅、系统测试、人员访谈、数据流分析等多维方法，确保风险无遗漏。审计结果需清晰量化风险等级，指导资源精准投入整改。

价值（二）——合规验证与信任基石

作用：客观验证企业实践是否符合《个人信息保护法》《数据安全法》《网络安全法》及配套法规、国标要求，证明企业履行法定义务（如告知同意、目的限制、安全保障、个权响应）。

要求：审计须严格对标现行法律法规及监管动态，结论具备法律证明力。清晰展示合规差距与证据，为应对监管检查、回应个人诉求提供权威依据，成为建立用户、监管、市场信任的核心凭证。

价值（三）——持续改进与价值引擎

作用：超越被动合规，揭示管理流程、技术措施、人员意识的系统性缺陷，推动治理体系优化，如完善制度、更新技术、强化培训。

要求：审计报告需包含切实可行的优先级改进建议，建立跟踪机制确保闭环。管理层需依据审计结果决策，将个人信息保护内化为企业核心治理能力和ESG优势。

价值（四）——深度融合我国发展趋势

a)法规体系持续完善与监管趋严：配套细则、司法解释、执法案例不断充实，监管处罚力度显著加大。审计必须紧密跟踪最新要求，成为企业动态合规的“预警雷达”和“免疫系统”。

b)监管常态化与穿透式检查：网信办、工信部、市监总局等多部门协同监管成为常态，主动监测和“双随机”抽查结合。审计报告是企业自证合规、争取监管信任的关键通行证。

c)技术驱动与审计智能化：大数据、AI技术在自动化数据发现、异常行为监测、风险建模中应用加深。审计需融合技术工具，提升覆盖广度、深度与效率，应对海量数据处理挑战。

d)生态协同与标准统一：供应链、平台生态中的数据共享责任及时梳理清晰。审计范围需延伸至第三方合作方，并推动行业最佳实践和标准互认，降低生态合规成本。

e)国际规则接轨与跨境治理强化：伴随《促进和规范数据跨境流动规定》等细则出台，跨境数据传输审计成为焦点。审计需具备国际视野，确保企业满足境内及目标市场合规要求。