个人信息保护考核评价标准（2026完整版）.docx

个人信息保护考核评价标准（2026完整版）

本标准适用于所有在中华人民共和国境内处理自然人个人信息的企业、事业单位、社会团体、政府内设信息处理部门，所有开展个人信息处理活动的主体必须严格对照本标准开展年度考核，高风险处理场景（处理个人信息规模超过100万人、涉及敏感个人信息占比超过30%）的主体每6个月开展一次专项考核。本标准所有考核指标均对齐现行生效的法律法规、国家标准要求，所有考核流程、分值规则、罚则条款均具备可直接落地执行的操作属性，无需额外补充解释即可直接投入使用。

第一章考核评价总体规则

一、考核评价适用范围

1.适用主体

所有从事个人信息收集、存储、使用、加工、传输、提供、公开、销毁全流程活动的主体均需纳入考核范围，涵盖互联网平台企业、线下实体零售机构、医疗健康服务机构、教育培训机构、公共服务办事平台运营方等所有涉及个人信息处理的单位。个体工商户处理个人信息规模不足1万人的，可适当简化考核流程，但核心合规指标不得豁免。

2.排除适用场景

仅作为受托方按照委托方明确指令处理个人信息、不自主决定处理目的和方式的纯数据加工外包企业，可简化本标准第三章全流程处理合规类指标的考核内容，仅考核内部权限管控、数据销毁两类核心指标。涉及国家秘密的个人信息处理活动，按照保密管理相关规定执行，不适用本标准的公开考核流程。

二、考核评价组织实施主体

1.内部考核工作组组成

各单位内部