加強個人信息保護，是貫徹習(xí)近平總書記“網(wǎng)絡(luò)安全為人民，網(wǎng)絡(luò)安全靠人民”重要指示精神的體現(xiàn)?！吨腥A人民共和國個人信息保護法》第五十四條規(guī)定，個人信息處理者應(yīng)當(dāng)定期對其處理個人信息遵守法律、行政法規(guī)的情況進行合規(guī)審計。第六十四條規(guī)定，履行個人信息保護職責(zé)的部門在履行職責(zé)中，發(fā)現(xiàn)個人信息處理活動存在較大風(fēng)險或者發(fā)生個人信息安全事件的，可以要求個人信息處理者委托專業(yè)機構(gòu)對其個人信息處理活動進行合規(guī)審計。近日，國家互聯(lián)網(wǎng)信息辦公室公布《個人信息保護合規(guī)審計管理辦法》（以下簡稱《辦法》），是對《中華人民共和國個人信息保護法》審計要求的細化落實，明確了審計對象、審計條件和審計重點事項，為個人信息保護合規(guī)審計活動提供重要依據(jù)，是個人信息保護工作的里程碑。
一、為數(shù)字經(jīng)濟持續(xù)健康發(fā)展提供保障
在數(shù)據(jù)成為新生產(chǎn)要素的背景下，個人信息的安全利用有助于加速數(shù)據(jù)要素流通，深度釋放數(shù)據(jù)價值，推動數(shù)字經(jīng)濟持續(xù)健康發(fā)展。違法違規(guī)收集使用個人信息、個人信息泄露等安全事件，嚴重影響了數(shù)據(jù)的深度挖掘、分析、利用和交易。為規(guī)避數(shù)據(jù)泄露、數(shù)據(jù)濫用的風(fēng)險，有的個人信息主體不愿意提供更多的個人信息，有的個人信息主體在個人信息處理者征求個人同意時，選擇拒絕或者盡可能少的授權(quán)，甚至提交非真實信息。缺乏信任除影響個人信息主體提供和披露其個人信息的積極性外，也成為個人信息處理者之間共享數(shù)據(jù)的障礙。
合規(guī)審計將對個人信息處理者在收集、使用個人信息時遵循相關(guān)法律、行政法規(guī)的情況進行審查和評價，及時發(fā)現(xiàn)個人信息保護工作中存在的問題，糾正違法違規(guī)行為，提升個人信息保護水平。依法依規(guī)進行的個人信息保護合規(guī)審計能提升個人信息處理者的安全保障能力，增強個人信息主體對個人信息安全的信心，從而愿意提供更多的數(shù)據(jù)資源，也積極支持個人信息處理者的深度挖掘、利用和共享等。加強合規(guī)審計工作，是確保個人信息保護工作落到實處、取得實效的重要舉措，也是推動數(shù)字經(jīng)濟健康發(fā)展的必然選擇。
二、為個人信息處理者合規(guī)提供依據(jù)
《中華人民共和國個人信息保護法》公布施行以來，國家網(wǎng)信部門以及其他履行個人信息保護職責(zé)的部門持續(xù)開展個人信息專項治理，個人信息保護工作取得階段性成果，網(wǎng)民的個人信息保護意識顯著增強，廣大網(wǎng)民關(guān)注的隱私政策、強制索取權(quán)限、一攬子授權(quán)等問題有所改善。同時，超范圍收集個人信息、個人信息泄露等問題還不同程度存在，需要進一步壓實個人信息處理者個人信息保護主體責(zé)任，持續(xù)推進個人信息保護工作。
《辦法》堅持問題導(dǎo)向、底線思維，堅持個人信息利用和保護并重，回應(yīng)了個人信息保護治理出現(xiàn)的新情況、新問題、新需求，具有較強的針對性和可操作性。個人信息處理者要深刻認識個人信息保護合規(guī)審計工作的重要性和緊迫性，通過落實《辦法》，健全風(fēng)險防范的法律體系，守住底線紅線，確保個人信息依法依規(guī)收集和使用。通過開展個人信息保護合規(guī)審計工作，建立健全個人信息保護制度，提升個人信息安全意識，完善內(nèi)部保護機構(gòu)，強化個人信息安全保護措施，形成完整的個人信息合規(guī)矩陣，提升個人信息安全保護能力，將個人信息保護法的個人信息處理規(guī)則和安全保障義務(wù)傳達至個人信息處理者的業(yè)務(wù)層面。
三、推動個人信息保護審計工作做深做實
依法治網(wǎng)的本質(zhì)，是為互聯(lián)網(wǎng)健康有序發(fā)展提供保障?！掇k法》為個人信息處理者和審計機構(gòu)依法依規(guī)開展個人信息保護合規(guī)提供了明確指引。為推動我國個人信息保護水平進一步提升，監(jiān)管部門、各類個人信息處理者相關(guān)主體應(yīng)積極落實《辦法》的規(guī)定，加快適應(yīng)規(guī)范化、常態(tài)化的個人信息保護要求。
一是妥善處理安全與發(fā)展的關(guān)系。個人信息安全牽一發(fā)而動全身，只有筑牢個人信息安全基石，才能保障個人信息安全合規(guī)的流通。這決定了個人信息合規(guī)審計監(jiān)管工作要堅持保護與利用并重，把個人信息依法有序流動和合理開發(fā)利用作為個人信息保護合規(guī)審計監(jiān)管工作的基本原則。要圍繞個人信息收集、存儲、使用、加工、傳輸、提供、公開、刪除等各個環(huán)節(jié)，依托個人信息合規(guī)審計等個人信息合規(guī)制度工具，建立涵蓋個人信息整個生命周期的審計監(jiān)管制度。同時也要看到，《辦法》積極釋放了調(diào)整改革信號，有利于提振市場主體信心。個人信息處理者嚴格落實《辦法》，依法依規(guī)開展個人信息保護合規(guī)審計，有利于推動個人信息依法有序自由流動，讓數(shù)據(jù)變成真正的活水，真正激發(fā)數(shù)據(jù)要素的價值。
二是完善審計機制，健全合規(guī)能力。個人信息處理者應(yīng)充分認識到審計工作的重要性和必要性，理解把握《辦法》相關(guān)要求，加快建立與個人信息保護合規(guī)審計相適應(yīng)的技術(shù)和管理體系，避免高風(fēng)險事件的發(fā)生。個人信息處理者應(yīng)理順自主開展審計的流程和方式，自覺定期開展合規(guī)審計，并為審計機構(gòu)提供必要的支持和協(xié)助，確保審計工作的順利進行。各相關(guān)機構(gòu)應(yīng)加強對個人信息保護合規(guī)審計工作的宣傳和教育，提高全社會對審計工作的認知度和支持度。
三是打造專業(yè)隊伍，形成科學(xué)方案。個人信息處理者委托專業(yè)機構(gòu)開展審計工作時，專業(yè)機構(gòu)應(yīng)針對特定的審計對象，制定相適應(yīng)的審計計劃和方案。充分發(fā)揮中國網(wǎng)絡(luò)空間安全協(xié)會個人信息保護專業(yè)委員會的作用，可以考慮在個保專委會下設(shè)立個保審計工作組，對個人信息保護專業(yè)審計機構(gòu)和審計人員進行自律管理。加快完善審計機構(gòu)行業(yè)自律規(guī)范，以團標(biāo)先行的方式推動標(biāo)準建設(shè)，引導(dǎo)專業(yè)機構(gòu)建立科學(xué)的審計指標(biāo)體系，客觀評價被審計單位的合規(guī)情況，出具高質(zhì)量審計報告。規(guī)范發(fā)展審計機構(gòu)人員隊伍，通過系統(tǒng)培訓(xùn)考試，使審計人員掌握個人信息保護的相關(guān)法律法規(guī)、技術(shù)標(biāo)準規(guī)范，更加準確地理解和適用《中華人民共和國個人信息保護法》《個人信息保護合規(guī)審計管理辦法》相關(guān)要求，有效履行個人信息保護合規(guī)審計職責(zé)。（作者：杜阿寧，中國網(wǎng)絡(luò)空間安全協(xié)會副秘書長）
