2021年11月1日《中華人民共和國個(gè)人信息保護(hù)法》施行之后，諸如個(gè)人信息跨境傳輸保護(hù)、人臉信息保護(hù)等配套制度也隨著產(chǎn)業(yè)實(shí)踐和監(jiān)管實(shí)踐的深入而不斷完善。總體而言，我國個(gè)人信息保護(hù)制度體系正在呈現(xiàn)精細(xì)化、全面化發(fā)展趨勢。然而，實(shí)踐中諸如購置房產(chǎn)后家裝公司精準(zhǔn)定位推銷電話等類似事件仍然時(shí)有發(fā)生，公民個(gè)人信息保護(hù)面臨著網(wǎng)絡(luò)黑灰產(chǎn)業(yè)的嚴(yán)重威脅。部分個(gè)人信息處理者或是疏于履行法定義務(wù)導(dǎo)致個(gè)人信息泄露，或是為了牟取非法利益鋌而走險(xiǎn)，直接參與個(gè)人信息買賣。為了進(jìn)一步督促個(gè)人信息處理者充分履行個(gè)人信息保護(hù)義務(wù)，最大限度地預(yù)防和控制個(gè)人信息安全風(fēng)險(xiǎn)，國家互聯(lián)網(wǎng)信息辦公室基于個(gè)人信息保護(hù)法等提及的合規(guī)審計(jì)要求，制定了《個(gè)人信息保護(hù)合規(guī)審計(jì)管理辦法》（以下簡稱《合規(guī)審計(jì)辦法》），將于2025年5月1日起施行。
此前在實(shí)踐中，部分企業(yè)因其自身的主營業(yè)務(wù)并非與互聯(lián)網(wǎng)信息服務(wù)直接相關(guān)，將個(gè)人信息保護(hù)視為一種“負(fù)擔(dān)”，進(jìn)而出現(xiàn)“敷衍合規(guī)”“應(yīng)付合規(guī)”等現(xiàn)象。這種現(xiàn)象使得公民個(gè)人信息處于危險(xiǎn)狀態(tài)，網(wǎng)絡(luò)黑灰產(chǎn)業(yè)輕而易舉地便可獲取各類敏感個(gè)人信息，公民的人身安全和財(cái)產(chǎn)安全也受到嚴(yán)重威脅。《合規(guī)審計(jì)辦法》的出臺象征著我國個(gè)人信息保護(hù)制度進(jìn)入到全新階段。各類企業(yè)、機(jī)構(gòu)乃至個(gè)人在收集和處理個(gè)人信息時(shí)，不僅需要按照個(gè)人信息保護(hù)法充分履行相應(yīng)義務(wù)，而且還需要針對義務(wù)履行情況進(jìn)行合規(guī)審計(jì)，確保義務(wù)履行方式恰當(dāng)和充分。
《合規(guī)審計(jì)辦法》的適用范圍與個(gè)人信息保護(hù)法第三條保持一致，無論是在中國境內(nèi)處理自然人個(gè)人信息，還是在境外處理境內(nèi)自然人個(gè)人信息，相應(yīng)的個(gè)人信息處理者均有可能面臨相應(yīng)的個(gè)人信息合規(guī)審計(jì)義務(wù)。值得注意的是，為了平衡個(gè)人信息保護(hù)和商業(yè)利益訴求，《合規(guī)審計(jì)辦法》并沒有強(qiáng)制要求個(gè)人信息處理者必須自行支付相應(yīng)費(fèi)用委托外部第三方進(jìn)行合規(guī)審計(jì)；亦沒有嚴(yán)格限定合規(guī)審計(jì)次數(shù)，僅是針對處理1000萬個(gè)人信息的個(gè)人信息處理者，為了確保個(gè)人信息安全，要求其至少每兩年開展一次個(gè)人信息保護(hù)合規(guī)審計(jì)?！逗弦?guī)審計(jì)辦法》所規(guī)定的合規(guī)審計(jì)主要包括內(nèi)部合規(guī)審計(jì)和外部合規(guī)審計(jì)兩類，前者主要是個(gè)人信息處理者內(nèi)部機(jī)構(gòu)定期對個(gè)人信息處理情況進(jìn)行合規(guī)審計(jì)，后者則是指基于監(jiān)管部門的監(jiān)管要求或個(gè)人信息處理者自行委托，由專門機(jī)構(gòu)進(jìn)行獨(dú)立的合規(guī)審計(jì)。
《合規(guī)審計(jì)辦法》的功能定位不能簡單理解為個(gè)人信息保護(hù)法的“重復(fù)規(guī)定”或“內(nèi)容重述”，而是應(yīng)當(dāng)理解為個(gè)人信息保護(hù)義務(wù)履行方式的標(biāo)準(zhǔn)化。誠然，《合規(guī)審計(jì)辦法》乍一看外觀上與個(gè)人信息保護(hù)法在內(nèi)容層面存在大量“重復(fù)”，但是，從企業(yè)合規(guī)審計(jì)的角度考慮，卻是將業(yè)務(wù)合規(guī)的重點(diǎn)內(nèi)容和判斷標(biāo)準(zhǔn)予以明確化。需要注意的是，《合規(guī)審計(jì)辦法》還增設(shè)了附件《個(gè)人信息保護(hù)合規(guī)審計(jì)指引》（以下簡稱《合規(guī)審計(jì)指引》）?！逗弦?guī)審計(jì)指引》針對個(gè)人信息處理活動的合法性基礎(chǔ)、處理規(guī)則、告知義務(wù)履行方式等關(guān)鍵事項(xiàng)，進(jìn)一步細(xì)化了需要重點(diǎn)審計(jì)的核心事項(xiàng)。客觀而言，《合規(guī)審計(jì)辦法》的立法目的并不是單純在業(yè)務(wù)合規(guī)程序上額外增設(shè)一個(gè)環(huán)節(jié)，而是通過合規(guī)審計(jì)的方式督促個(gè)人信息處理者能夠真正落實(shí)個(gè)人信息保護(hù)法的法定要求。從具體內(nèi)容來看，《合規(guī)審計(jì)辦法》并沒有“一刀切”地限定審計(jì)主體、審計(jì)流程、審計(jì)次數(shù)，而是強(qiáng)調(diào)根據(jù)個(gè)人信息安全風(fēng)險(xiǎn)實(shí)際狀況選擇必要的合規(guī)審計(jì)模式。
為了實(shí)現(xiàn)《合規(guī)審計(jì)辦法》的立法目的以及進(jìn)一步預(yù)防和控制個(gè)人信息安全風(fēng)險(xiǎn)，《合規(guī)審計(jì)辦法》還對審計(jì)機(jī)構(gòu)作出專門規(guī)定。因?yàn)橹挥歇?dú)立自主的審計(jì)機(jī)構(gòu)和審計(jì)活動才能確保審計(jì)結(jié)果具有公正性和客觀性，否則又會再次出現(xiàn)“敷衍合規(guī)”的現(xiàn)象。針對外部審計(jì)，除了明確監(jiān)管部門負(fù)責(zé)合規(guī)審計(jì)專業(yè)機(jī)構(gòu)的選定范圍外，還要求專業(yè)機(jī)構(gòu)自身以誠信正直、公正客觀的方式作出合規(guī)審計(jì)職業(yè)判斷，并通過負(fù)責(zé)人簽字、加蓋公章等方式避免審計(jì)機(jī)構(gòu)與被審計(jì)單位弄虛作假。
在未來，隨著《合規(guī)審計(jì)辦法》的實(shí)施，我國公民個(gè)人信息所面臨的安全風(fēng)險(xiǎn)將顯著下降，諸如內(nèi)部員工私自泄露個(gè)人信息、第三方合作機(jī)構(gòu)擅自對外傳輸個(gè)人信息等安全事件的發(fā)生概率也將得到有效控制。當(dāng)然，徒法不足以自行，個(gè)人信息保護(hù)合規(guī)審計(jì)制度也需要結(jié)合產(chǎn)業(yè)實(shí)踐持續(xù)完善，督促個(gè)人信息處理者真正重視個(gè)人信息保護(hù)，實(shí)現(xiàn)“有效合規(guī)”和“充分合規(guī)”。
（作者系北京航空航天大學(xué)法學(xué)院副教授）
京公網(wǎng)安備 11010102003980號