個保合規審計新規：審查信息刪除、文件硬盤數據銷毀等27類事項

2月14日，國家網信辦公布《個人信息保護合規審計管理辦法》（下稱《辦法》，并附《個人信息保護合規審計指引》（下稱《指引》），定于今年5月1日起施行。《辦法》明確了自行開展以及按照相關保護部門要求開展個人信息保護合規審計的兩種情形及要求，并規定處理超過1000萬人個人信息的個人信息處理者，應當每兩年至少開展一次個人信息保護合規審計。

首先《辦法》給出定義，個人信息保護合規審計是指對個人信息處理者的個人信息處理活動是否遵守法律、行政法規的情況進行審查和評價的監督活動。

近年來，《個人信息保護法》《網絡數據安全管理條例》等法律法規相繼出臺，為個人信息保護提供了基本的法律框架與制度設計，并對個人信息處理者開展合規審計作出規定。《辦法》則對前述上位法中的原則性規定進行了細化與落實。

《辦法》明確了兩種個人信息處理者開展合規審計的情形。

一是個人信息處理者自行開展個人信息保護合規審計的，應當由個人信息處理者內部機構或者委托專業機構定期對其處理個人信息遵守法律、行政法規的情況進行合規審計。處理超過1000萬人個人信息的個人信息處理者，應當每兩年至少開展一次個人信息保護合規審計。處理100萬人以上個人信息的個人信息處理者應當指定個人信息保護負責人，負責個人信息處理者的個人信息保護合規審計工作。

二是某些情形下，國家網信部門和其他履行個人信息保護職責的部門，要求個人信息處理者委托專業機構對個人信息處理活動進行合規審計。值得注意的是，對同一個人信息安全事件或者風險，不得重復要求個人信息處理者委托專業機構開展個人信息保護合規審計。　　

具體而言，上述情形包括三種——發現個人信息處理活動存在嚴重影響個人權益或者嚴重缺乏安全措施等較大風險的；個人信息處理活動可能侵害眾多個人的權益的；發生個人信息安全事件，導致100萬人以上個人信息或者10萬人以上敏感個人信息泄露、篡改、丟失、毀損的。

此外，個人信息處理者按照保護部門要求開展個人信息保護合規審計的，應當為專業機構正常開展個人信息保護合規審計工作提供必要支持，并承擔審計費用。完成合規審計后，其應當按照保護部門要求對合規審計中發現的問題進行整改。在整改完成后15個工作日內，向保護部門報送整改情況報告。

對于從事合規審計活動的專業機構提出了哪些要求？《辦法》明確，專業機構應當公正客觀地作出合規審計職業判斷，對在履行個人信息保護合規審計職責中獲得的個人信息、商業秘密、保密商務信息等應當依法予以保密，在合規審計工作結束后及時刪除相關信息；不得轉委托其他機構開展個人信息保護合規審計。需要注意的是，同一專業機構及其關聯機構、同一合規審計負責人不得連續三次以上對同一審計對象開展個人信息保護合規審計。

附件《指引》細化了個人信息保護合規審計的重點審查事項，共包括27個方面，涉及圖像采集、個人信息刪除權保障、自動化決策、敏感信息處理等。

對個人信息處理者利用自動化決策處理個人信息進行合規審計的，應審查的內容包括自動化決策的透明度，以及自動化決策的結果是否公平、公正；是否事前告知個人自動化決策處理個人信息的種類及可能帶來的影響；向個人進行信息推送、商業營銷的，是否同時提供不針對個人特征的選項；是否采取了有效措施，防止自動化決策根據消費者的偏好、交易習慣等實行不合理的差別待遇等。

對個人信息刪除權保障情況進行合規審計，應重點審查處理目的是否已實現、無法實現或者為實現處理目的不再必要；個人信息處理者是否停止提供產品或者服務，或者個人是否已注銷賬號；保存期限是否已屆滿；個人是否撤回同意；個人信息處理者是否違反法律、行政法規或者違反約定處理個人信息等。

近年來，由網絡暴力引發的慘劇頻頻上演，抵制這一網絡頑疾已逐漸成為全民共識，同時網暴治理領域建章立制的步伐也在加快。針對個人信息處理者處理已公開的個人信息進行合規審計時，《指引》提出應重點審查是否存在利用已公開的個人信息從事網絡暴力、傳播網絡謠言和虛假信息等活動的行為。

另外，《個人信息保護法》規定提供重要互聯網平臺服務、用戶數量巨大、業務類型復雜的個人信息處理者，應成立主要由外部成員組成的獨立機構對個人信息保護情況進行監督，并且定期發布個人信息保護社會責任報告。

此次《指引》明確，對符合上述要求個人信息處理者發布的社會責任報告進行合規審計時，應當重點審查報告中是否就獨立監督機構的履職情況作出說明等。