8月3日，国度网信办公开《个东说念主信息保护合规审计解决办法（征求观念稿）》（下称《办法》），并附《个东说念主信息保护合规审计参考要点》（下称《要点》）。观念反映限度时分为2023年9月2日。

《办法》拟轨则，处理跳动100万东说念主个东说念主信息的个东说念主信息处理者，应当每年至少开展一次个东说念主信息保护合规审计；其他个东说念主信息处理者应当每二年至少开展一次个东说念主信息保护合规审计。《要点》则将使用自动化决议、参与汇注暴力、处理敏锐信息等有计划情况纳入审计规模，初次针对外部清静监督机构职能和个东说念主信息保护社会背负说明内容作出具体要求。

人人指出，上述文献可被看作是《个东说念主信息保护法》关联合规审计轨则的落地细目，但在审计依据、审计方针、审计范围等方面仍存在细化空间。

“存在较大风险”内涵需进一步明确

字据《办法》，个东说念主信息保护合规审计，是指对个东说念主信息处理者的个东说念主信息处理行径是否驯顺法律、行政律例的情况进行审查和评价的监督行径。

北京理工大学法学院进修洪延青撰文指出，《办法》不错看作是《个东说念主信息保护法》第54条“个东说念主信息处理者应当按期对其处理个东说念主信息驯顺法律、行政律例的情况进行合规审计”以登科64条“履行个东说念主信息保护职责的部门在履行职责中，发现个东说念主信息处理行径存在较大风险疏漏发生个东说念主信息安全事件的，不错按照轨则的权限和模式对该个东说念主信息处理者的法定代表东说念主疏漏主要精良东说念主进行约谈，疏漏要求个东说念主信息处理者托付专科机构对其个东说念主信息处理行径进行合规审计”的落地实施细目。

针对处理超100万东说念主个东说念主信息的个东说念主信息处理者，《办法》拟要求每年至少开展一次个东说念主信息保护合规审计；其他个东说念主信息处理者则应当每两年至少开展一次。个东说念主信息保护合规审计说明应当由合规审计精良东说念主、专科机构精良东说念主署名并加盖专科机构公章，并报送履行个东说念主信息保护职责的部门。

北京高勤讼师事务所联合东说念主王源解析，在个东说念主信息保护法律规模，按照数目进行轨则的要求仅见于《数据出境安全评估办法》，处理100万东说念主以上个东说念主信息的数据处理者向境外提供个东说念主信息，应当向网信部门陈诉数据出境安全评估。由此可见，处理100万个东说念主信息在我国事个门槛，从监管的视角为风险较大的个东说念主信息处理行动。

对于个东说念主信息保护合规审计的实檀越体，《办法》拟要求，个东说念主信息处理者自行开展的，可字据本色情况，由本组织里面机构疏漏托付专科机构按照本办法要求开展。但淌若履行个东说念主信息保护职责的部门发现个东说念主信息处理行径存在较大风险疏漏发生个东说念主信息安全事件的，不错要求个东说念主信息处理者托付专科机构对其个东说念主信息处理行径进行合规审计。为保证清静性和客不雅性，《办法》拟要求，实施个东说念主信息保护合规审计的专科机构运动为并吞审计对象开展个东说念主信息保护合规审计不得跳动三次。

洪延青在其著作中例如证明，个东说念主信息保护合规审计不错被作为对个东说念主信息处理者的“体检”。和针对个东说念主健康的体检同样，针对个东说念主信息处理者的“体检”不错是自查，也不错是特定情形下按照轨则和要求开展的查验，比如入职体检。

哪些情况属于“存在较大风险”？王源觉得，不错参考国外通行的试验，从风险起首的主体、风险行动、行动对象、风险环境四个维度判断。例如，针对敏锐个东说念主信息的起首于境外高风险地区的自动化决议类风险属于高风险个东说念主信息处理行动，需要个东说念主信息处理者在里面轨制测度打算时对风险进行分类分级。但无论是《个东说念主信息保护法》照旧《办法》，齐莫得对“存在较大风险”进行细化解说，因此有可能个东说念主信息处理者自行礼貌的风险品级和监管分解不一致。

洪延青从本人教会登程，撰文摆设了监管部门可能觉得存在较大风险的身分，包括个东说念主信息处理者的合规“历史”、对个东说念主信息保护合规的通晓和掌控、公众公论等。

另外，《办法》还拟定国度网信部门会同公安机关等国务院关联部门按照统筹霸术、合理布局、择优保举的原则配置个东说念主信息保护合规审计专科机构保举目次，饱读吹个东说念主信息处理者优先选拔保举目次中的专科机构开展个东说念主信息保护合规审计行径。

皇冠体育hg86a

对此王源默示，个东说念主信息保护合规审计更多的是一种里面解决要求，审计亦然一种阛阓化行动。《个东说念主信息保护法》仅赋予网信部门保举疏漏指定认证机构的权益，并莫得赋予网信部门开荒审计保举机构目次的权益。品级保衬规模还是取消了保举品级保护认证机构轨制，在个东说念主信息保护合规审计规模复原该轨制与趋势不符，且网信部门保举的依据与模范也并不解确。

网暴被列入个东说念主信息保护合规审计规模

《要点》涌现，其依据《个东说念主信息保护法》等法律、行政律例和国度模范的强制性要求制定，为开展个东说念主信息保护合规审计提供参考。具体至审计的内容，《要点》的31条内容拟将使用自动化决议、图像采集、处理敏锐信息等情况纳入审计范围。

针对个东说念主信息处理者愚弄自动化决议处理个东说念主信息的，审计应评价有计划算法是否预先对算法模子进行安全评估并按轨则备案；是否向用户提供删除疏漏修改用于自动化决议办事的针对其个东说念主特征的用户标签功能；向个东说念主进行信息推送、买卖营销时，是否同期提供不针对个东说念主特征的选项，疏漏提供通俗的终止自动化决议办事的神志；是否收受了有用依次，贵重自动化决议字据破钞者的偏好、来回风俗等对个东说念主在来回要求上实行分歧理的辞别待遇，也即所谓“大数据杀熟”。

针对个东说念主信息处理者在民众场地安设图像采集、个东说念主身份识别开荒的，审计内容需包括是否竖立了显赫的教导象征；若采集的信息用于珍摄民众安全除外用途的，是否赢得个东说念主单独高兴。

值得预防的是，针对个东说念主信息处理者处理已公开个东说念主信息的，审计的重心还需包括个东说念主信息处理者是否愚弄已公开的个东说念主信息从事汇注暴力行径。

风雨彩虹，铿锵玫瑰，在世界范围内来看，女足的比赛同样非常精彩，而现在女足世界杯小组赛已经进入到了白炽化阶段，很多场比赛也到了一槌定音的时候，一场比赛的胜负，有可能决定着这个球队是否能够继续留在世界杯的赛场上。瑞典女足已经完成了三场世界杯小组赛，而这个球队从未让球迷感到失望，每场比赛打的行云流水，在比赛中也是疯狂碾压对方，比赛节奏完全掌握在自己手中，甚至随时可以终结比赛，看似两支球队完全不在同一水平线上，这让喜欢这支球队的球迷非常愿意观看瑞典女足的比赛，到现在为止，球队实际上已经锁定了世界杯决赛圈的入场券，但是还有一场比赛要完成，这场比赛事关荣耀，而无关胜负，毕竟这支球队已经赢了太多，如果赢了这场比赛算是锦上添花，即便是输掉比赛也无关痛痒，这场比赛的对手就是世界第一的美国足球。

在处理敏锐个东说念主信息方面，《要点》拟明确需重心审查个东说念主信息处理者在处理生物识别、宗教信仰、特定身份、医疗健康、金融账户、踪迹轨迹等敏锐个东说念主信息时，是否预先赢得个东说念主的单独高兴；处理起火十四周岁未成年东说念主的个东说念主信息，是否预先赢得未成年东说念主的父母疏漏其他监护东说念主的高兴等。

此外，针对大型互联网平台运营者，《要点》第28条、31条分别初次拟针对外部清静监督机构职能和个东说念主信息保护社会背负说明内容作出具体要求。

字据《个东说念主信息保护法》第58条，提供要害互联网平台办事、用户数目纷乱、业务类型复杂的个东说念主信息处理者，应当按照国度轨则配置健全个东说念主信息保护合规轨制体系，成立主要由外部成员构成的清静机构对个东说念主信息保护情况进行监督，而且按期发布个东说念主信息保护社会背负说明，接纳社会监督。

《要点》则拟要求针对大型互联网平台计划者的个东说念主信息保护合规审计应当对清静机构的清静性、履职武艺、监督作用等进行评价。且个东说念主信息保护社会背负说明需包含个东说念主信息保护组织架构和里面解决情况、个东说念主信息保护依次和奏效、清静监督机构履职情况、要紧个东说念主信息安全事件处理情况等内容。

值得预防的是，洪延青提议，不同于《办法》出台后的强制性，《要点》为参考性质，审计是否完满按照《要点》开展，需要进一步裁量判断。他例如称，“部门托付审计”完满不错在《要点》的基础上，针对特定的个东说念主信息处理者过头可能产生的个东说念主信息安全风险“量文体衣”，以骁勇对具体的风险“吃准摸透”。唯有这么“刨根问底”，提议的整改或纠正依次才会“有的放矢”。

接纳采访时，王源也补充说念，《要点》还有很多可细化的场地，主要聚集在审计依据、审计方针、审计范围过于泛泛的方面。

领先，《个东说念主信息保护法》之外，国务院莫得制定专诚保护个东说念主信息的行政律例，各层级部门王法、范例性文献、国度模范、团体模范等字据《个东说念主信息保护法》的轨则，不是审计的法律依据。同期，这些效率相对较弱疏漏莫得强制力的王法由网信、工信等部门制定，内容粗细不一、王法之间难以诱导和洽。因此，在针对个东说念主信息处理者的某项操作试验是否允洽法律和行政律例进行主不雅判定时，枯竭客不雅泰斗的模范和模范，导致审计的真正成果存疑。

其次，《解决办法》和还是出台的《数据出境安全评估办法》、《对于实施个东说念主信息保护认证的公告》总共细化了《个东说念主信息保护法》轨则的评估、认证、审计三项轨制。可是，《要点》华夏则性的审计要乞降行业通行的个东说念主信息保护影响评估要求区别不大，审计和评估的各自主见以及使命重心的分袂并不了了，可能导致轨制出台的必要性和迫切性镌汰。“当今个东说念主信息保衬规模的问题不是轨则少，而是轨则太多。轨则不和洽，轨则不好落地——这是不利于数字经济全体发展的。”

此外，《办法》和《要点》的审计要求险些涵盖了大型互联网企业全部业务行径的各个方面，比如针对个东说念主信息处理全进程、里面解决轨制和操作规程的审计等。关联词，评价平台王法的公说念平正性，是否存在坏心竞争等已超出个东说念主信息保护规模，一次审计、一份说明难以承载如斯大的内容体量。

采写：南齐记者黄慧诗 樊文扬重庆时时彩电子游戏