《数据安全技术 个人信息保护合规审计要求（征求意见稿）》要点解析及合规应对

2024年7月12日，全国网络安全标准化技术委员会（"网安标委"）发布了《数据安全技术 个人信息保护合规审计要求》征求意见稿（"《审计要求》"），面向社会公开征求意见，截止至2024年9月11日。《审计要求》规定了依据《个人信息保护法》开展个人信息保护合规审计的审计原则、审计总体要求，明确了审计过程规范、审计人员要求、审计开展方式步骤、具体的审计内容和审计方法等，为个人信息处理者内部机构或委托专业机构开展的个人信息保护合规审计工作提供了指引。

本文对《审计要求》中值得企业关注的重点内容展开分析，并为企业提供应对建议。

一、背景与主要内容

《审计要求》的制定是为了响应并具体落地《个人信息保护法》的相关要求。根据《个人信息保护法》第五十四条和第六十四条的规定，企业在以下两种情形时需要开展个人信息保护合规审计：

第五十四条 个人信息处理者应当定期对其处理个人信息遵守法律、行政法规的情况进行合规审计。

第六十四条 履行个人信息保护职责的部门在履行职责中，发现个人信息处理活动存在较大风险或者发生个人信息安全事件的，可以按照规定的权限和程序对该个人信息处理者的法定代表人或者主要负责人进行约谈，或者要求个人信息处理者委托专业机构对其个人信息处理活动进行合规审计。个人信息处理者应当按照要求采取措施，进行整改，消除隐患。

2023年8月3日，国家互联网信息办公室（"网信办"）曾发布过《个人信息保护合规审计管理办法（征求意见稿）》（"《办法》"）及配套的《个人信息保护合规审计参考要点》（"《审计要求》"），规定了审计活动的触发条件及具体流程。相比2023年的《办法》，这次的《审计要求》无论在审计的程序还是具体内容方面都有更加详细的要求。