企业开展个人信息保护合规审计的必要性

什么是“合规审计”？



合规审计是审计机构和审计人员依据国家法律、法规和财经制度对被审计单位的生产经营管理活动及其有关资料是否合规所进行的一种经济监督活动。

针对个人信息保护的合规审计，其审计的对象就落在了个人信息处理者的个人信息处理活动。无论是《个人信息保护法》，还是《个人信息保护合规审计管理办法（征求意见稿）》都将合规审计的对象指向了“个人信息处理活动”，但从实施审计的着眼点和目的来看，对于该“个人信息处理活动”不能仅理解为个人信息的收集、存储、使用、加工、传输、提供、公开、删除等，还应当包括个人信息处理者的内部管理制度、安全技术措施、教育培训、负责人资质能力等围绕个人信息处理活动的制度、管理、人员等因素。


通过上述明确个人信息保护合规审计的含义及对象，可以清晰地梳理出《征求意见稿》对个人信息处理者在处理个人信息过程中需要保证的制度、管理、技术、能力等各方面提出的要求。《个保法》针对个人信息保护合规审计规定了两种形式，即定期主动审计和应监管机构要求的被动审计，从企业自身经营和风险控制的角度，一定不希望在发现自身个人信息处理活动存在较大风险或发生个人信息安全事件后，监管机构介入要求强制进行合规审计。从企业自身发现问题、主动规避风险、维护企业良好声誉、提升个人信息保护能力等目的出发，按照规定定期进行合规审计就成为了一项重要任务。