个人信息保护合规审计管理办法.pdfVIP

个人信息保护合规审计管理办法 （征求意见稿） 第一条 为指导、规范个人信息保护合规审计活动，提 高个人信息处理活动合规水平，保护个人信息权益，根据《中 华人民共和国个人信息保护法》等法律、行政法规和国家有 关规定，制定本办法。 第二条 个人信息处理者定期开展个人信息保护合规审 计，或者按照履行个人信息保护职责的部门要求委托专业机 构对其个人信息处理活动进行合规审计，以及对个人信息保 护合规审计活动的监督管理适用本办法。 第三条 本办法所称个人信息保护合规审计，是指对个 人信息处理者的个人信息处理活动是否遵守法律、行政法规 的情况进行审查和评价的监督活动。 第四条 处理超过100 万人个人信息的个人信息处理者， 应当每年至少开展一次个人信息保护合规审计；其他个人信 - 1 - 息处理者应当每二年至少开展一次个人信息保护合规审计。 第五条 个人信息处理者自行开展个人信息保护合规审 计，可根据实际情况，由本组织内部机构或者委托专业机构 按照本办法要求开展。 第六条 履行个人信息保护职责的部门在履行职责中， 发现个人信息处理活动存在较大风险或者发生个人信息安 全事件的，可以要求个人信息处理者委托专业机构对其个人 信息处理活动进行合规审计。 第七条 个人信息处理者按照履行个人信息保护职责的 部门要求开展个人信息保护合规审计的，应当在收到通知后 尽快按照要求选定专业机构进行个人信息保护合规审计。 第八条 个人信息处理者按照履行个人信息保护职责的 部门要求委托专业机构开展个人信息保护合规审计的，应当 保证专业机构能够正常行使下列权限： （一）要求提供或者协助查阅相关文件或资料； （二）进入个人信息处理活动相关场所； （三）观察场所内发生的个人信息处理活动； （四）调查相关业务活动及所依赖的信息系统； （五）检查、测试个人信息处理活动相关设备设施； （六）调取、查阅个人信息处理活动相关数据或信息； （七）访谈与个人信息处理活动有关的人员； （八）就相关问题进行调查、质询和取证； （九）其他开展合规审计工作所必需的权限。 - 2 - 第九条 个人信息处理者按照履行个人信息保护职责部 门要求委托专业机构开展个人信息保护合规审计的，应当在 90 个工作日内完成个人信息保护合规审计；情况复杂的，报 经履行个人信息保护职责的部门批准后可适当延长。 第十条 个人信息处理者按照履行个人信息保护职责部 门要求委托专业机构开展个人信息保护合规审计的，应当按 照本办法要求组织实施个人信息保护合规审计，在实施必要 合规审计程序后，及时将专业机构出具的个人信息保护合规 审计报告报送履行个人信息保护职责的部门。个人信息保护 合规审计报告应当由合规审计负责人、专业机构负责人签字 并加盖专业机构公章。 第十一条 个人信息处理者按照履行个人信息保护职责 的部门要求委托专业机构开展个人信息保护合规审计的，应 当按照专业机构给出的整改建议进行整改，经专业机构复核 后将整改情况报送履行个人信息保护职责的部门。 第十二条 执行个人信息保护合规审计的专业机构应当 保持独立性和客观性，连续为同一审计对象开展个人信息保 护合规审计不得超过三次。 第十三条 国家网信部门会同公安机关等国务院有关部 门按照统筹规划、合理布局、择优推荐的原则建立个人信息 保护合规审计专业机构推荐目录，每年组织开展个人信息保 护合规审计专业机构评估评价，并根据评估评价情况动态调 整个人信息保护合规审计专业机构推荐目录。 - 3 - 鼓励个人信息处理者优先选择推荐目录中的专业机构 开展个人信息保护合规审计活动。 第十四条 专业机构在从事个人信息保护合规审计活动 时，应当诚信正直，公正客观地作出合规审计职业判断。 专业机构不得转包委托第三方开展个人信息保护合规 审计。 专业机构在履行个人信息保护合规审计职责中获得的 信息，只能用于个人信息保护合规审计的需要，不