個(gè)人信息保護(hù)合規(guī)審計(jì)是指對(duì)個(gè)人信息處理者的個(gè)人信息處理活動(dòng)是否符合法律、行政法規(guī)的規(guī)定進(jìn)行審查和評(píng)價(jià)的監(jiān)督活動(dòng)?！吨腥A人民共和國(guó)個(gè)人信息保護(hù)法》第五十四條、第六十四條為合規(guī)審計(jì)提供了法律依據(jù)?！秱€(gè)人信息保護(hù)合規(guī)審計(jì)管理辦法》（以下簡(jiǎn)稱《辦法》）則進(jìn)一步細(xì)化了審計(jì)的具體實(shí)施規(guī)則，標(biāo)志著我國(guó)個(gè)人信息保護(hù)監(jiān)管體系進(jìn)一步完善。
全球范圍看，合規(guī)審計(jì)已經(jīng)成為個(gè)人信息保護(hù)領(lǐng)域的標(biāo)配。美國(guó)聯(lián)邦貿(mào)易委員會(huì)早在2010年代便通過行政和解協(xié)議的方式要求谷歌和臉書通過第三方進(jìn)行隱私審計(jì)。富有影響力的歐盟《通用數(shù)據(jù)保護(hù)條例》同樣較早地引入了數(shù)據(jù)保護(hù)審計(jì)制度。除美國(guó)和歐盟外，俄羅斯《聯(lián)邦個(gè)人數(shù)據(jù)法》、印度《數(shù)字個(gè)人數(shù)據(jù)保護(hù)法》等新近個(gè)人信息保護(hù)立法都納入了合規(guī)審計(jì)相關(guān)內(nèi)容。然而，全球范圍內(nèi)對(duì)個(gè)人信息保護(hù)領(lǐng)域?qū)徲?jì)制度的最佳實(shí)踐尚未獲得共識(shí)。立足于中國(guó)的數(shù)字經(jīng)濟(jì)與監(jiān)管經(jīng)驗(yàn)，《辦法》在以下方面給出了中國(guó)方案。
其一，明確審計(jì)的類型與形式。《辦法》將個(gè)人信息保護(hù)合規(guī)審計(jì)分為兩類：一是個(gè)人信息處理者自行定期開展的合規(guī)審計(jì)，二是依據(jù)履行個(gè)人信息保護(hù)職責(zé)的部門要求開展的合規(guī)審計(jì)。針對(duì)這兩類審計(jì)，《辦法》規(guī)定了不同的審計(jì)頻率與觸發(fā)條件。處理個(gè)人信息超過1000萬人的個(gè)人信息處理者需每?jī)赡曛辽龠M(jìn)行一次審計(jì)，其他個(gè)人信息處理者沒有強(qiáng)制要求；對(duì)于依部門要求開展的審計(jì)，以發(fā)現(xiàn)較大風(fēng)險(xiǎn)或發(fā)生安全事件為觸發(fā)條件。通過區(qū)分審計(jì)類型并細(xì)化要求，《辦法》實(shí)現(xiàn)了“定期體檢”與“專項(xiàng)檢查”相結(jié)合的雙重監(jiān)管效果。這種分類設(shè)計(jì)不僅有助于提高審計(jì)的針對(duì)性，還能夠有效平衡監(jiān)管效率與企業(yè)負(fù)擔(dān)。
其二，強(qiáng)化審計(jì)的獨(dú)立性與專業(yè)性。全球范圍看，合規(guī)審計(jì)在美國(guó)、歐盟等法域已有所嘗試，但過往域外針對(duì)谷歌、臉書的審計(jì)要求多流于形式，僅在于披露其存在個(gè)人信息保護(hù)的內(nèi)部程序，而非實(shí)質(zhì)效果?！掇k法》從獨(dú)立性與專業(yè)性兩方面入手，確保審計(jì)的實(shí)效性。獨(dú)立性方面，《辦法》規(guī)定依部門要求開展的審計(jì)必須由第三方專業(yè)機(jī)構(gòu)進(jìn)行，且同一機(jī)構(gòu)連續(xù)服務(wù)同一對(duì)象的次數(shù)不得超過三次。這一規(guī)定有效避免了審計(jì)機(jī)構(gòu)與被審計(jì)對(duì)象之間可能存在的利益關(guān)聯(lián)，確保審計(jì)結(jié)果的客觀公正。專業(yè)性方面，《辦法》規(guī)定專業(yè)機(jī)構(gòu)應(yīng)當(dāng)具備開展個(gè)人信息保護(hù)合規(guī)審計(jì)的能力，有與服務(wù)相適應(yīng)的審計(jì)人員、場(chǎng)所、設(shè)施和資金等，并鼓勵(lì)相關(guān)專業(yè)機(jī)構(gòu)通過認(rèn)證。個(gè)人信息處理者應(yīng)當(dāng)為專業(yè)機(jī)構(gòu)正常開展個(gè)人信息保護(hù)合規(guī)審計(jì)工作提供必要支持，并承擔(dān)審計(jì)費(fèi)用。專業(yè)機(jī)構(gòu)還需確保其誠(chéng)信正直、公正客觀地作出合規(guī)審計(jì)職業(yè)判斷。上述規(guī)定有助于提升審計(jì)結(jié)果的公信力，推動(dòng)個(gè)人信息保護(hù)合規(guī)審計(jì)從形式化向?qū)嵸|(zhì)化轉(zhuǎn)變，提升合規(guī)審計(jì)的專業(yè)水平。
其三，規(guī)范依部門要求開展的審計(jì)程序。針對(duì)風(fēng)險(xiǎn)較大或發(fā)生安全事件時(shí)的審計(jì)，《辦法》明確了職責(zé)部門、個(gè)人信息處理者與專業(yè)機(jī)構(gòu)之間的協(xié)作程序。個(gè)人信息處理者在完成合規(guī)審計(jì)后，應(yīng)當(dāng)將專業(yè)機(jī)構(gòu)出具的個(gè)人信息保護(hù)合規(guī)審計(jì)報(bào)告報(bào)送履行個(gè)人信息保護(hù)職責(zé)的部門，按照部門要求對(duì)合規(guī)審計(jì)中發(fā)現(xiàn)的問題進(jìn)行整改，并在整改完成后向部門報(bào)送整改情況報(bào)告。這一程序體現(xiàn)了“受規(guī)制的自我規(guī)制”理念，既發(fā)揮了專業(yè)機(jī)構(gòu)的專業(yè)優(yōu)勢(shì)，又滲透了職責(zé)部門的公益判斷。通過這種協(xié)作機(jī)制，《辦法》在提升審計(jì)效率的同時(shí)，也強(qiáng)化了監(jiān)管的針對(duì)性和實(shí)效性。
其四，避免審計(jì)對(duì)個(gè)人信息處理者造成不必要的負(fù)擔(dān)。《辦法》在確保審計(jì)效果的同時(shí)，注重減輕個(gè)人信息處理者的負(fù)擔(dān)。對(duì)于定期審計(jì)，個(gè)人信息處理者可自行決定是否采用第三方專業(yè)機(jī)構(gòu)審計(jì)，靈活適應(yīng)自身業(yè)務(wù)狀況。對(duì)于專業(yè)機(jī)構(gòu)進(jìn)行的審計(jì)，《辦法》特別要求專業(yè)機(jī)構(gòu)對(duì)在履行個(gè)人信息保護(hù)合規(guī)審計(jì)職責(zé)中獲得的個(gè)人信息、商業(yè)秘密、保密商務(wù)信息等應(yīng)當(dāng)依法予以保密，不得泄露或者非法向他人提供，在合規(guī)審計(jì)工作結(jié)束后及時(shí)刪除相關(guān)信息。
其五，建立全面的審計(jì)指引。《辦法》的附件部分詳細(xì)列出了審計(jì)指引，涵蓋個(gè)人信息處理的合法性基礎(chǔ)、處理規(guī)則、告知義務(wù)、共同處理與委托處理情形、個(gè)人信息轉(zhuǎn)移等多個(gè)方面，全面反映了《中華人民共和國(guó)個(gè)人信息保護(hù)法》的義務(wù)體系，并提供了更具操作性的指引。目前，我國(guó)有關(guān)個(gè)人信息保護(hù)合規(guī)審計(jì)的標(biāo)準(zhǔn)化工作正在進(jìn)行，上述參考要點(diǎn)為各層級(jí)技術(shù)標(biāo)準(zhǔn)的進(jìn)一步落地與實(shí)操提供了重要的引導(dǎo)。指引的設(shè)置有力預(yù)防了個(gè)人信息處理者對(duì)《中華人民共和國(guó)個(gè)人信息保護(hù)法》及配套行政法規(guī)的目標(biāo)虛置，同時(shí)為技術(shù)標(biāo)準(zhǔn)的細(xì)化提供了焦點(diǎn)。
《辦法》的出臺(tái)是我國(guó)個(gè)人信息保護(hù)領(lǐng)域立法和監(jiān)管體系的重要補(bǔ)充，標(biāo)志著我國(guó)在個(gè)人信息保護(hù)合規(guī)治理方面邁出了實(shí)質(zhì)性的一步。作為《中華人民共和國(guó)個(gè)人信息保護(hù)法》的關(guān)鍵配套制度，該《辦法》首次系統(tǒng)性地構(gòu)建了個(gè)人信息處理活動(dòng)的合規(guī)審計(jì)框架，為個(gè)人信息處理者的合規(guī)實(shí)踐與監(jiān)管部門的執(zhí)法提供了具體指引。從國(guó)際視角看，《辦法》在借鑒國(guó)際經(jīng)驗(yàn)的基礎(chǔ)上，避免了合規(guī)審計(jì)的形式化，具有實(shí)質(zhì)提升個(gè)人信息權(quán)益保護(hù)的潛力?！掇k法》的公布不僅是我國(guó)個(gè)人信息保護(hù)法治化進(jìn)程的重要里程碑，也是推動(dòng)數(shù)字經(jīng)濟(jì)高質(zhì)量發(fā)展、構(gòu)建信任社會(huì)的關(guān)鍵舉措。未來，隨著《辦法》的施行，我國(guó)個(gè)人信息保護(hù)工作將邁向更高水平，為數(shù)字經(jīng)濟(jì)的可持續(xù)發(fā)展和治理現(xiàn)代化注入新的動(dòng)力。（作者：丁曉東，中國(guó)人民大學(xué)法學(xué)院教授、未來法治研究院副院長(zhǎng)）
