個(gè)人信息保護(hù)合規(guī)審計(jì)是監(jiān)督與評(píng)估個(gè)人信息處理者切實(shí)履行個(gè)人信息保護(hù)義務(wù)的重要制度?！秱€(gè)人信息保護(hù)合規(guī)審計(jì)管理辦法》（以下簡(jiǎn)稱《辦法》）的制定是以《中華人民共和國(guó)個(gè)人信息保護(hù)法》等法律法規(guī)為依據(jù)，清晰且全面地規(guī)定了個(gè)人信息保護(hù)合規(guī)審計(jì)制度的具體實(shí)施方式，有效平衡了個(gè)人信息安全保護(hù)和個(gè)人信息合理利用的雙重立法目標(biāo)?！掇k法》的出臺(tái)有利于推動(dòng)個(gè)人信息保護(hù)義務(wù)的充分履行，顯著提升個(gè)人信息處理活動(dòng)的透明性和合規(guī)性，推動(dòng)我國(guó)個(gè)人信息保護(hù)工作進(jìn)入全新階段，為全球個(gè)人信息保護(hù)治理實(shí)踐提供了有益的中國(guó)方案。
在世界范圍內(nèi)，各國(guó)正在普遍推進(jìn)個(gè)人信息保護(hù)合規(guī)審計(jì)制度的立法進(jìn)程。歐盟《通用數(shù)據(jù)保護(hù)條例》（GDPR）第二十八條、第三十九條等條款均有提及數(shù)據(jù)保護(hù)審計(jì)制度的具體實(shí)施方式和義務(wù)主體范圍。美國(guó)各州在各自立法權(quán)限內(nèi)也設(shè)置了不同的審計(jì)要求，如《加州消費(fèi)者隱私法》（CCPA）針對(duì)存在重大風(fēng)險(xiǎn)的企業(yè)，明確每年應(yīng)當(dāng)進(jìn)行一次網(wǎng)絡(luò)安全審計(jì)。英國(guó)《數(shù)據(jù)保護(hù)法案》（DPA）和《信息專員辦公室（ICO）審計(jì)指南》中也提及了自愿性審計(jì)和強(qiáng)制性審計(jì)等數(shù)據(jù)保護(hù)審計(jì)的具體實(shí)施流程。
然而，個(gè)人信息保護(hù)合規(guī)審計(jì)與各國(guó)的個(gè)人信息保護(hù)體系密切相關(guān)，目前并未形成完全統(tǒng)一的合規(guī)審計(jì)模式?！掇k法》以中國(guó)的個(gè)人信息保護(hù)實(shí)踐問題為導(dǎo)向，立足于中國(guó)的個(gè)人信息保護(hù)制度特點(diǎn)，提供了不同于任何一個(gè)國(guó)家的“中國(guó)答案”。總結(jié)而言，該《辦法》的創(chuàng)新之處主要表現(xiàn)為以下四個(gè)方面。
第一，合理設(shè)置不同的審計(jì)模式，有效避免過重的義務(wù)負(fù)擔(dān)。個(gè)人信息保護(hù)合規(guī)審計(jì)制度適用于所有類型的個(gè)人信息處理者，然而這些主體的業(yè)務(wù)合規(guī)能力有所差別，并且其所處理的個(gè)人信息數(shù)量、類型也不盡相同，所以，《辦法》設(shè)置了外部審計(jì)和內(nèi)部審計(jì)兩種審計(jì)模式。外部審計(jì)是指?jìng)€(gè)人信息處理者委托外部的專業(yè)機(jī)構(gòu)進(jìn)行合規(guī)審計(jì)；內(nèi)部審計(jì)是指?jìng)€(gè)人信息處理者自行開展個(gè)人信息保護(hù)合規(guī)審計(jì)。當(dāng)國(guó)家網(wǎng)信部門和其他履行個(gè)人信息保護(hù)職責(zé)的部門（以下統(tǒng)稱為保護(hù)部門）發(fā)現(xiàn)個(gè)人信息處理活動(dòng)存在較大風(fēng)險(xiǎn)，可能侵害眾多個(gè)人的權(quán)益或者發(fā)生個(gè)人信息安全事件時(shí)，可以要求個(gè)人信息處理者采用外部審計(jì)模式。此外，《辦法》明確規(guī)定處理超過1000萬人個(gè)人信息的個(gè)人信息處理者，應(yīng)當(dāng)每?jī)赡曛辽匍_展一次個(gè)人信息保護(hù)合規(guī)審計(jì)。這將有助于對(duì)個(gè)人信息處理者的安全風(fēng)險(xiǎn)狀況進(jìn)行全方位、短周期地評(píng)估和審查。
第二，明確專業(yè)機(jī)構(gòu)、審計(jì)人員和審計(jì)活動(dòng)的獨(dú)立客觀性。個(gè)人信息保護(hù)合規(guī)審計(jì)制度最重要的環(huán)節(jié)是確保合規(guī)審計(jì)活動(dòng)的獨(dú)立性和客觀性，這樣才能確保依據(jù)合規(guī)審計(jì)活動(dòng)作出的審計(jì)結(jié)論能夠真實(shí)地反映個(gè)人信息處理者的業(yè)務(wù)合規(guī)情況，進(jìn)而對(duì)個(gè)人信息處理者提出針對(duì)性的審計(jì)建議。在專業(yè)機(jī)構(gòu)方面，《辦法》設(shè)置了“同一專業(yè)機(jī)構(gòu)及其關(guān)聯(lián)機(jī)構(gòu)、同一合規(guī)審計(jì)負(fù)責(zé)人不得連續(xù)三次以上對(duì)同一審計(jì)對(duì)象開展個(gè)人信息保護(hù)合規(guī)審計(jì)”的要求，背后的原因正是為了預(yù)防專業(yè)機(jī)構(gòu)在多次的合規(guī)審計(jì)活動(dòng)中疏忽審計(jì)對(duì)象可能出現(xiàn)的新問題新情況，也能夠有效避免專業(yè)機(jī)構(gòu)與審計(jì)對(duì)象之間形成“黑幕交易”。在審計(jì)人員方面，《辦法》對(duì)審計(jì)人員的審計(jì)行為和職業(yè)操守作出了詳細(xì)規(guī)定，包括專業(yè)機(jī)構(gòu)主要負(fù)責(zé)人、合規(guī)審計(jì)負(fù)責(zé)人應(yīng)當(dāng)在審計(jì)報(bào)告上簽字并加蓋專業(yè)機(jī)構(gòu)公章，專業(yè)機(jī)構(gòu)不得泄露或者非法向他人提供在履行個(gè)人信息保護(hù)合規(guī)審計(jì)職責(zé)中獲得的個(gè)人信息、商業(yè)秘密、保密商務(wù)信息等。
第三，細(xì)化個(gè)人信息保護(hù)合規(guī)審計(jì)的重點(diǎn)審查事項(xiàng)。該《辦法》的一大亮點(diǎn)在于配套設(shè)置了個(gè)人信息保護(hù)合規(guī)審計(jì)的具體審查事項(xiàng)，這些審查事項(xiàng)的設(shè)置以《中華人民共和國(guó)個(gè)人信息保護(hù)法》的具體規(guī)則作為上位法依據(jù)，指明了個(gè)人信息保護(hù)業(yè)務(wù)合規(guī)的核心內(nèi)容。以知情同意規(guī)則為例，在實(shí)踐中，社會(huì)公眾對(duì)人臉識(shí)別技術(shù)應(yīng)用背后的個(gè)人信息處理規(guī)則不甚了解，部分原因是個(gè)人信息處理者未能履行事前告知義務(wù)，并獲取用戶單獨(dú)同意。那么按照該《辦法》所提出的合規(guī)審計(jì)標(biāo)準(zhǔn)，即便個(gè)人信息處理者采用了用戶協(xié)議的形式予以告知，但是倘若用戶協(xié)議內(nèi)容冗長(zhǎng)晦澀，這類行為不符合“以顯著方式、清晰易懂的語言真實(shí)、準(zhǔn)確、完整地向個(gè)人告知個(gè)人信息處理規(guī)則”審查要求，屬于典型的業(yè)務(wù)合規(guī)不到位。
第四，充分發(fā)揮合規(guī)審計(jì)的監(jiān)督和整改效果。該《辦法》明確要求個(gè)人信息處理者按照保護(hù)部門要求開展個(gè)人信息保護(hù)合規(guī)審計(jì)的，應(yīng)當(dāng)對(duì)合規(guī)審計(jì)中發(fā)現(xiàn)的問題進(jìn)行整改，在整改完成后15個(gè)工作日內(nèi)，向保護(hù)部門報(bào)送整改情況報(bào)告。該要求凸顯了合規(guī)審計(jì)的核心功能之一是通過客觀公正的審計(jì)活動(dòng)評(píng)估風(fēng)險(xiǎn)、發(fā)現(xiàn)問題，并為個(gè)人信息處理者提供更好的整改優(yōu)化建議。因此，個(gè)人信息處理者不應(yīng)當(dāng)將此種制度視為額外的義務(wù)負(fù)擔(dān)，而是另一種形式的業(yè)務(wù)合規(guī)優(yōu)化機(jī)制。并且，為了實(shí)現(xiàn)個(gè)人信息保護(hù)合規(guī)的透明化，該《辦法》還依據(jù)《中華人民共和國(guó)個(gè)人信息保護(hù)法》的規(guī)定將大型網(wǎng)絡(luò)平臺(tái)的個(gè)人信息保護(hù)社會(huì)責(zé)任報(bào)告納入審計(jì)事項(xiàng)，形成了個(gè)人信息保護(hù)從落地實(shí)施到事后評(píng)估監(jiān)督的制度閉環(huán)，也讓社會(huì)公眾能夠更為直觀地了解到自己的個(gè)人信息究竟如何被處理和安全保護(hù)。
個(gè)人信息保護(hù)合規(guī)審計(jì)制度的優(yōu)點(diǎn)在于，通過獨(dú)立客觀的審計(jì)活動(dòng)，以《中華人民共和國(guó)個(gè)人信息保護(hù)法》等法律法規(guī)作為審計(jì)依據(jù)，“逐條逐項(xiàng)”地確保個(gè)人信息保護(hù)制度落地落實(shí)。個(gè)人信息保護(hù)是一項(xiàng)長(zhǎng)期性、系統(tǒng)性和動(dòng)態(tài)性的現(xiàn)代化治理活動(dòng)，需要結(jié)合產(chǎn)業(yè)模式、科技創(chuàng)新的實(shí)踐情況進(jìn)行同步規(guī)劃、同步監(jiān)管、同步更新。該《辦法》是我國(guó)個(gè)人信息保護(hù)立法工作的又一創(chuàng)新成果，有助于督促個(gè)人信息處理者切實(shí)保障好公民的個(gè)人信息權(quán)益，高效促進(jìn)個(gè)人信息的合理利用和充分流動(dòng)，夯實(shí)個(gè)人信息保護(hù)成效。（作者：趙精武，北京航空航天大學(xué)法學(xué)院副教授、院長(zhǎng)助理）
