天融信：個人信息保護合規(guī)審計5月1日施行，走好六步上牢“安全鎖”
個人信息保護事關(guān)廣大人民群眾的切身利益，事關(guān)國家數(shù)據(jù)安全。近日，國家互聯(lián)網(wǎng)信息辦公室公布《個人信息保護合規(guī)審計管理辦法》（以下簡稱《辦法》），并將于今年5月1日正式實施。《辦法》的出臺，可以說是我國個人信息保護工作的里程碑，體現(xiàn)了政府監(jiān)管和行業(yè)自律二者并重的治理思路、部門主導(dǎo)和社會參與協(xié)同推進的治理方式以及法律法規(guī)和政策舉措有效銜接的治理模式，對于完善我國個人信息保護制度體系、提高個人信息保護水平、提升數(shù)據(jù)安全治理監(jiān)管能力具有重要意義。
2月19日，國家網(wǎng)信辦又公布了82款因違反《個人信息保護法》等法律法規(guī)被責令限期整改的App，當前，個人信息被企業(yè)、機構(gòu)甚至個人廣泛收集使用，個人信息保護和個人信息利用的矛盾日益突出?！掇k法》對個人信息保護合規(guī)審計活動的開展、合規(guī)審計機構(gòu)的選擇、合規(guī)審計的頻次、個人信息處理者和專業(yè)機構(gòu)在合規(guī)審計中的義務(wù)等作出細化規(guī)定，旨在為個人信息處理者開展個人信息保護合規(guī)審計提供系統(tǒng)性、針對性、可操作性的規(guī)范，提升個人信息處理活動合法合規(guī)水平，保護個人信息權(quán)益。
《辦法》重點內(nèi)容
1、明確審計方式及審計頻次
第三條 個人信息處理者自行開展個人信息保護合規(guī)審計的，應(yīng)當由個人信息處理者內(nèi)部機構(gòu)或者委托專業(yè)機構(gòu)定期對其處理個人信息遵守法律、行政法規(guī)的情況進行合規(guī)審計。
第四條 處理超過1000萬人個人信息的個人信息處理者，應(yīng)當每兩年至少開展一次個人信息保護合規(guī)審計。
第五條 個人信息處理者有以下情形之一的，國家網(wǎng)信部門和其他履行個人信息保護職責的部門（以下統(tǒng)稱為保護部門），可以要求個人信息處理者委托專業(yè)機構(gòu)對個人信息處理活動進行合規(guī)審計：
（一）發(fā)現(xiàn)個人信息處理活動存在嚴重影響個人權(quán)益或者嚴重缺乏安全措施等較大風險的；
（二）個人信息處理活動可能侵害眾多個人的權(quán)益的；
（三）發(fā)生個人信息安全事件，導(dǎo)致100萬人以上個人信息或者10萬人以上敏感個人信息泄露、篡改、丟失、毀損的。
對同一個人信息安全事件或者風險，不得重復(fù)要求個人信息處理者委托專業(yè)機構(gòu)開展個人信息保護合規(guī)審計。
2、確立審計內(nèi)容
第六條 個人信息處理者自行開展或者按照保護部門要求委托專業(yè)機構(gòu)開展個人信息保護合規(guī)審計的，應(yīng)當參照本辦法附件《個人信息保護合規(guī)審計指引》。
個人信息保護合規(guī)審計指引
一、本指引根據(jù)《中華人民共和國個人信息保護法》、《網(wǎng)絡(luò)數(shù)據(jù)安全管理條例》等法律、行政法規(guī)制定。
二、對個人信息處理活動的合法性基礎(chǔ)進行合規(guī)審計的，應(yīng)當重點審查下列事項：
2.1 基于個人同意處理個人信息的，是否取得個人同意，該同意是否由個人在充分知情的前提下自愿、明確作出；
2.2 基于個人同意處理個人信息的，個人信息的處理目的、處理方式、處理的個人信息種類發(fā)生變更的，是否重新取得個人同意；
2.3 基于個人同意處理個人信息的，是否依照法律、行政法規(guī)取得個人單獨同意或者書面同意；
2.4 處理個人信息未取得個人同意的，是否屬于法律、行政法規(guī)規(guī)定不需要取得個人同意的情形。
三、對個人信息處理規(guī)則進行合規(guī)審計的，應(yīng)當重點審查下列事項：
3.1 是否真實、準確、完整地告知個人信息處理者的名稱或者姓名和聯(lián)系方式；
3.2 是否以清單等便于查看的形式列明所收集的個人信息及其處理方式和種類；
3.3 是否與處理目的直接相關(guān)，采取對個人權(quán)益影響最小的方式；
3.4 是否明確個人信息保存期限或者保存期限的確定方法、到期后的處理方式，以及確定保存期限為實現(xiàn)處理目的所必要的最短時間；
3.5 是否明確個人查閱、復(fù)制、轉(zhuǎn)移、更正、補充、刪除、限制處理個人信息以及注銷賬號、撤回同意的途徑和方法。
四、對個人信息處理者履行告知個人信息處理規(guī)則義務(wù)進行合規(guī)審計的，應(yīng)當重點審查下列事項：
4.1 個人信息處理者在處理個人信息前，是否以顯著方式、清晰易懂的語言真實、準確、完整地向個人告知個人信息處理規(guī)則；
4.2 告知文本的大小、字體和顏色是否便于個人完整閱讀告知事項；
4.3 線下告知是否通過標注、說明等多種方式向個人履行告知義務(wù)；
4.4 在線告知是否提供文本信息或者通過適當方式向個人履行告知義務(wù)；
4.5 個人信息處理規(guī)則發(fā)生變更的，是否將變更內(nèi)容及時告知個人；
4.6 處理個人信息不需要告知的，是否屬于法律、行政法規(guī)規(guī)定應(yīng)當保密或者不需要告知的情形。
五、對個人信息處理者與其他個人信息處理者共同處理個人信息進行合規(guī)審計的，應(yīng)當重點審查下列事項：
5.1 是否約定各自的權(quán)利義務(wù)；
5.2 個人信息權(quán)益保護機制；
5.3 個人信息安全事件報告機制；
5.4 其他法律、行政法規(guī)規(guī)定需要約定的權(quán)利和義務(wù)。
六、對個人信息處理者委托處理個人信息進行合規(guī)審計的，應(yīng)當重點審查下列事項：
6.1 個人信息處理者在委托處理個人信息前，是否開展個人信息保護影響評估；
6.2 個人信息處理者與受托人簽訂的合同，是否與受托人約定了委托處理的目的、期限、方式、個人信息的種類、保護措施以及雙方的權(quán)利義務(wù)等；
6.3 個人信息處理者是否采取定期檢查等方式，對受托人的個人信息處理活動進行監(jiān)督。
七、個人信息處理者存在因合并、重組、分立、解散、被宣告破產(chǎn)等原因需要轉(zhuǎn)移個人信息情形的，應(yīng)當重點審查個人信息處理者是否向個人告知接收方的名稱或者姓名和聯(lián)系方式。
八、對個人信息處理者向其他個人信息處理者提供其處理的個人信息進行合規(guī)審計的，應(yīng)當重點審查下列事項：
8.1 基于個人同意處理個人信息的，是否取得個人的單獨同意；
8.2 是否向個人告知接收方的名稱或者姓名、聯(lián)系方式、處理目的、處理方式和個人信息的種類，法律、行政法規(guī)規(guī)定應(yīng)當保密或者不需要告知的除外；
8.3 是否事前進行個人信息保護影響評估。
九、對個人信息處理者利用自動化決策處理個人信息進行合規(guī)審計的，應(yīng)當重點審查下列事項：
9.1 自動化決策的透明度，以及自動化決策的結(jié)果是否公平、公正；
9.2 是否事前告知個人自動化決策處理個人信息的種類及可能帶來的影響；
9.3 是否事前進行個人信息保護影響評估；
9.4 是否向用戶提供保障機制，以便個人通過便捷方式拒絕通過自動化決策方式作出對個人權(quán)益有重大影響的決定，并要求個人信息處理者就通過自動化決策方式作出對用戶個人權(quán)益有重大影響的決定予以說明；
9.5 向個人進行信息推送、商業(yè)營銷的，是否同時提供不針對個人特征的選項，或者提供便捷的拒絕自動化決策服務(wù)的方式；
9.6 是否采取了有效措施，防止自動化決策根據(jù)消費者的偏好、交易習慣等對個人在交易條件上實行不合理的差別待遇；
9.7 其他可能影響自動化決策的透明度和結(jié)果公平、公正的事項。
十、對個人信息處理者基于個人同意公開個人信息進行合規(guī)審計的，應(yīng)當重點審查下列事項：
10.1 個人信息處理者公開其處理的個人信息前是否取得個人單獨同意，該授權(quán)是否真實、有效，是否存在違背個人意愿將個人信息予以公開的情況；
10.2 個人信息處理者公開個人信息前，是否進行個人信息保護影響評估。
十一、個人信息處理者在公共場所安裝圖像收集、個人身份識別設(shè)備的，應(yīng)當重點對其安裝圖像收集、個人信息身份識別設(shè)備的合法性及所收集個人信息的用途進行審查。審查內(nèi)容包括但不限于：
11.1 是否為維護公共安全所必需，是否為商業(yè)目的處理所收集的個人信息；
11.2 是否設(shè)置了顯著的提示標識；
11.3 個人信息處理者所收集的個人圖像、身份識別信息用于維護公共安全以外用途的，是否取得個人單獨同意。
十二、對個人信息處理者處理已公開的個人信息進行合規(guī)審計的，應(yīng)當重點審查個人信息處理者是否存在下列違法違規(guī)行為：
12.1 向已公開個人信息中的電子郵箱、手機號等發(fā)送與其公開目的無關(guān)的商業(yè)信息；
12.2 利用已公開的個人信息從事網(wǎng)絡(luò)暴力、傳播網(wǎng)絡(luò)謠言和虛假信息等活動；
12.3 處理個人明確拒絕處理的已公開個人信息；
12.4 對個人權(quán)益有重大影響，未取得個人同意；
12.5 收集、留存或處理已公開個人信息的規(guī)模、時間或使用目的超出合理范圍。
十三、對個人信息處理者處理敏感個人信息進行合規(guī)審計的，應(yīng)當重點審查下列事項：
13.1 基于個人同意處理個人信息的，處理生物識別、宗教信仰、特定身份、醫(yī)療健康、金融賬戶、行蹤軌跡等敏感個人信息，是否事前取得個人的單獨同意；
13.2 基于個人同意處理個人信息的，處理不滿十四周歲未成年人的個人信息，是否事前取得未成年人的父母或者其他監(jiān)護人的同意；
13.3 處理敏感個人信息的目的、方式、范圍是否合法、正當、必要；
13.4 是否在事前進行個人信息保護影響評估；
13.5 是否向個人告知處理敏感個人信息的必要性以及對個人權(quán)益的影響，法律、行政法規(guī)規(guī)定應(yīng)當保密或者不需要告知的除外；
13.6 法律、行政法規(guī)規(guī)定應(yīng)當取得書面同意的，是否取得書面同意；
13.7 是否遵守法律、行政法規(guī)對處理敏感個人信息的限制性規(guī)定。
十四、對個人信息處理者處理不滿十四周歲未成年人個人信息進行合規(guī)審計的，應(yīng)當重點審查下列事項：
14.1 是否制定專門的個人信息處理規(guī)則；
14.2 是否向未成年人及其監(jiān)護人告知未成年人個人信息的處理目的、處理方式、處理必要性，以及處理個人信息的種類、所采取的保護措施等，法律、行政法規(guī)規(guī)定不需要告知的除外；
14.3 基于個人同意處理個人信息，是否存在強制要求未成年人或者其監(jiān)護人同意處理非必要個人信息的行為。
十五、對個人信息處理者向境外提供個人信息進行合規(guī)審計的，應(yīng)當重點審查下列事項：
15.1 關(guān)鍵信息基礎(chǔ)設(shè)施運營者向境外提供個人信息是否經(jīng)過國家網(wǎng)信部門組織的安全評估，法律、行政法規(guī)、國家網(wǎng)信部門另有規(guī)定的，從其規(guī)定；
15.2 關(guān)鍵信息基礎(chǔ)設(shè)施運營者以外的數(shù)據(jù)處理者自當年1月1日起累計向境外提供100萬人以上個人信息（不含敏感個人信息）或者1萬人以上敏感個人信息是否經(jīng)過國家網(wǎng)信部門組織的安全評估，法律、行政法規(guī)、國家網(wǎng)信部門另有規(guī)定的，從其規(guī)定；
15.3 關(guān)鍵信息基礎(chǔ)設(shè)施運營者以外的數(shù)據(jù)處理者自當年1月1日起累計向境外提供10萬人以上、不滿100萬人個人信息（不含敏感個人信息）或者不滿1萬人敏感個人信息的，是否按照國家網(wǎng)信部門的規(guī)定，經(jīng)個人信息保護認證或者按照國家網(wǎng)信部門制定的標準合同與境外接收方簽訂合同并向所在地省級網(wǎng)信部門備案，或者符合法律、行政法規(guī)、國家網(wǎng)信部門規(guī)定的其他條件；
15.4 存在向外國司法或者執(zhí)法機構(gòu)提供存儲于中華人民共和國境內(nèi)個人信息情形的，是否經(jīng)過中華人民共和國主管機關(guān)批準；
15.5 是否向被列入限制或者禁止個人信息提供清單的組織和個人提供個人信息。
十六、對個人信息刪除權(quán)保障情況進行合規(guī)審計的，應(yīng)當重點審查下列事項：
16.1 個人信息處理目的是否已實現(xiàn)、無法實現(xiàn)或者為實現(xiàn)處理目的不再必要；
16.2 個人信息處理者是否停止提供產(chǎn)品或者服務(wù)，或者個人是否已注銷賬號；
16.3 保存期限是否已屆滿；
16.4 個人是否撤回同意；
16.5 個人信息處理者是否違反法律、行政法規(guī)或者違反約定處理個人信息；
16.6 應(yīng)當刪除個人信息，但法律、行政法規(guī)規(guī)定的保存期限未屆滿，或者刪除個人信息從技術(shù)上難以實現(xiàn)的，個人信息處理者是否停止除存儲和采取必要的安全措施之外的處理。
十七、對個人信息處理者保障個人在個人信息處理活動中的權(quán)利情況進行合規(guī)審計的，應(yīng)當重點審查下列事項：
17.1 是否建立便捷的個人行使權(quán)利的申請受理機制和處理機制；
17.2 是否及時響應(yīng)個人行使權(quán)利的申請，是否及時、完整、準確告知處理意見或者執(zhí)行結(jié)果；
17.3 拒絕個人行使權(quán)利請求的，是否向個人說明理由。
十八、個人信息處理者應(yīng)當響應(yīng)個人申請，對其個人信息處理規(guī)則進行解釋說明，合規(guī)審計時應(yīng)當重點對下列內(nèi)容進行評價：
18.1 個人信息處理者是否提供便捷的方式和途徑，接受、處理個人關(guān)于個人信息處理規(guī)則解釋說明的要求；
18.2 接到個人的要求后，個人信息處理者是否在合理的時間內(nèi)，使用通俗易懂的語言對其個人信息處理規(guī)則作出解釋說明。
十九、個人信息處理者應(yīng)當依照法律、行政法規(guī)的規(guī)定制定內(nèi)部管理制度和操作規(guī)程，明確組織架構(gòu)、崗位職責，建立工作流程、完善內(nèi)控制度，保障個人信息處理合規(guī)與安全。合規(guī)審計時，應(yīng)當重點對個人信息處理者個人信息保護內(nèi)部管理制度和操作規(guī)程進行審查，包括但不限于：
19.1 個人信息保護工作的方針、目標、原則是否符合法律、行政法規(guī)規(guī)定；
19.2 個人信息保護組織架構(gòu)、人員配備、行為規(guī)范、管理責任是否與應(yīng)當履行的個人信息保護責任相適應(yīng)；
19.3 是否根據(jù)個人信息的種類、來源、敏感程度、用途等，對個人信息進行分類；
19.4 是否建立個人信息安全事件應(yīng)急響應(yīng)機制；
19.5 是否建立個人信息保護影響評估制度、合規(guī)審計制度；
19.6 是否建立暢通的個人信息保護投訴舉報受理流程；
19.7 是否合理制定個人信息處理操作權(quán)限；
19.8 是否制定實施個人信息保護安全教育和培訓計劃；
19.9 是否建立個人信息保護負責人及相關(guān)人員履職評價制度；
19.10 是否建立個人信息違法處理責任制度；
19.11 法律、行政法規(guī)規(guī)定的其他事項。
二十、個人信息處理者應(yīng)當采取與所處理個人信息規(guī)模、類型相適應(yīng)的安全技術(shù)措施，并對個人信息處理者采取的技術(shù)措施的有效性進行評價，評價內(nèi)容包括但不限于：
20.1 是否采取相應(yīng)安全技術(shù)措施實現(xiàn)個人信息的保密性、完整性、可用性；
20.2 是否采取加密、去標識化等安全技術(shù)措施，確保在不借助額外信息的情況下，消除或者降低個人信息的可識別性；
20.3 采取的安全技術(shù)措施能否合理確定有關(guān)人員查閱、復(fù)制、傳輸個人信息等的操作權(quán)限，減少個人信息在處理過程中未經(jīng)授權(quán)的訪問和濫用風險。
二十一、對個人信息處理者教育培訓計劃的制定和實施情況進行合規(guī)審計時，應(yīng)當重點對下列事項進行評價：
21.1 是否按計劃對管理人員、技術(shù)人員、操作人員、全員開展相應(yīng)的安全教育和培訓，是否對相應(yīng)人員的個人信息保護意識和技能進行考核；
21.2 培訓內(nèi)容、方式、對象、頻率等能否滿足個人信息保護需要。
二十二、對個人信息處理者指定的個人信息保護負責人履職情況進行合規(guī)審計的，應(yīng)當重點審查下列事項：
22.1 個人信息保護負責人是否具有相關(guān)的工作經(jīng)歷和專業(yè)知識，熟悉個人信息保護相關(guān)法律、行政法規(guī)；
22.2 個人信息保護負責人是否具有明確清晰的職責，是否被賦予充分的權(quán)限協(xié)調(diào)個人信息處理者內(nèi)部相關(guān)部門與人員；
22.3 個人信息保護負責人在個人信息處理重大事項決策前是否有權(quán)提出相關(guān)意見和建議；
22.4 個人信息保護負責人是否有權(quán)對個人信息處理者內(nèi)部個人信息處理的不合規(guī)操作進行制止和采取必要的糾正措施；
22.5 個人信息處理者是否公開個人信息保護負責人的聯(lián)系方式，并將個人信息保護負責人的姓名、聯(lián)系方式等報送保護部門。
二十三、對個人信息處理者開展個人信息保護影響評估情況進行合規(guī)審計時，應(yīng)當重點對影響評估開展情況和評估內(nèi)容進行審查：
23.1 是否依照法律、行政法規(guī)的規(guī)定，在進行對個人權(quán)益具有重大影響的個人信息處理活動前進行個人信息保護影響評估；
23.2 是否對個人信息的處理目的、處理方式等進行合法、正當、必要評估；
23.3 是否對個人權(quán)益的影響及安全風險進行評估；
23.4 是否對所采取的保護措施的合法性、有效性，以及與風險程度的適應(yīng)性進行評估。
二十四、個人信息處理者應(yīng)當制定個人信息安全事件應(yīng)急預(yù)案。合規(guī)審計時，應(yīng)當對應(yīng)急預(yù)案的全面性、有效性、可執(zhí)行性作出評價，包括但不限于下列內(nèi)容：
24.1 是否結(jié)合業(yè)務(wù)實際，對面臨的個人信息安全風險作出系統(tǒng)評估和預(yù)測；
24.2 總體要求、基本策略，組織機構(gòu)、人員，技術(shù)、物資保障，指揮處置程序，應(yīng)急和支持措施等是否足以應(yīng)對預(yù)測的風險；
24.3 是否對相關(guān)人員進行應(yīng)急預(yù)案培訓，定期對應(yīng)急預(yù)案進行演練。
二十五、對個人信息處理者個人信息安全事件應(yīng)急響應(yīng)處置情況進行合規(guī)審計的，應(yīng)當重點審查下列事項：
25.1 是否按照應(yīng)急預(yù)案、操作規(guī)程及時查明個人信息安全事件的影響、范圍和可能造成的危害，分析、確定事件發(fā)生的原因，提出防止危害擴大的措施方案；
25.2 是否建立通報渠道，在安全事件發(fā)生后按照相關(guān)規(guī)定及時通知保護部門和個人；
25.3 是否采取相應(yīng)措施將個人信息安全事件可能造成的損失和可能產(chǎn)生的危害風險降低到最小。
二十六、對提供重要互聯(lián)網(wǎng)平臺服務(wù)、用戶數(shù)量巨大、業(yè)務(wù)類型復(fù)雜的個人信息處理者制定的平臺規(guī)則進行合規(guī)審計的，應(yīng)當重點審查下列事項：
26.1 平臺規(guī)則是否與法律、行政法規(guī)相抵觸；
26.2 平臺規(guī)則個人信息保護條款的有效性，是否合理界定了平臺、平臺內(nèi)產(chǎn)品或者服務(wù)提供者的個人信息保護權(quán)利和義務(wù)；
26.3 平臺規(guī)則的執(zhí)行情況，是否通過抽樣等方式驗證平臺規(guī)則被有效執(zhí)行。
二十七、對提供重要互聯(lián)網(wǎng)平臺服務(wù)、用戶數(shù)量巨大、業(yè)務(wù)類型復(fù)雜的個人信息處理者發(fā)布的個人信息保護社會責任報告進行合規(guī)審計的，應(yīng)當重點審查社會責任報告披露下列內(nèi)容的情況：
27.1 個人信息保護組織架構(gòu)和內(nèi)部管理情況；
27.2 個人信息保護能力建設(shè)情況；
27.3 個人信息保護措施和成效；
27.4 個人行使權(quán)利的申請受理情況；
27.5 獨立監(jiān)督機構(gòu)履職情況；
27.6 重大個人信息安全事件處理情況；
27.7 促進個人信息保護社會共治的科普宣傳、公益活動情況；
27.8 法律、行政法規(guī)規(guī)定的其他事項。
3、確定專業(yè)審計機構(gòu)要求
第七條 專業(yè)機構(gòu)應(yīng)當具備開展個人信息保護合規(guī)審計的能力，有與服務(wù)相適應(yīng)的審計人員、場所、設(shè)施和資金等。
鼓勵相關(guān)專業(yè)機構(gòu)通過認證。專業(yè)機構(gòu)的認證按照《中華人民共和國認證認可條例》的有關(guān)規(guī)定執(zhí)行。
第十三條 專業(yè)機構(gòu)在從事個人信息保護合規(guī)審計活動時，應(yīng)當遵守法律法規(guī)，誠信正直，公正客觀地作出合規(guī)審計職業(yè)判斷，對在履行個人信息保護合規(guī)審計職責中獲得的個人信息、商業(yè)秘密、保密商務(wù)信息等應(yīng)當依法予以保密，不得泄露或者非法向他人提供，在合規(guī)審計工作結(jié)束后及時刪除相關(guān)信息。
第十四條 專業(yè)機構(gòu)不得轉(zhuǎn)委托其他機構(gòu)開展個人信息保護合規(guī)審計。
第十五條 同一專業(yè)機構(gòu)及其關(guān)聯(lián)機構(gòu)、同一合規(guī)審計負責人不得連續(xù)三次以上對同一審計對象開展個人信息保護合規(guī)審計。
4、明確個人信息處理者義務(wù)
第八條 個人信息處理者按照保護部門要求開展個人信息保護合規(guī)審計的，應(yīng)當為專業(yè)機構(gòu)正常開展個人信息保護合規(guī)審計工作提供必要支持，并承擔審計費用。
第九條 個人信息處理者按照保護部門要求開展個人信息保護合規(guī)審計的，應(yīng)當按照保護部門要求選定專業(yè)機構(gòu)，在限定時間內(nèi)完成個人信息保護合規(guī)審計；情況復(fù)雜的，報保護部門批準后，可以適當延長。
第十條 個人信息處理者按照保護部門要求開展個人信息保護合規(guī)審計的，在完成合規(guī)審計后，應(yīng)當將專業(yè)機構(gòu)出具的個人信息保護合規(guī)審計報告報送保護部門。
個人信息保護合規(guī)審計報告應(yīng)當由專業(yè)機構(gòu)主要負責人、合規(guī)審計負責人簽字并加蓋專業(yè)機構(gòu)公章。
第十一條 個人信息處理者按照保護部門要求開展個人信息保護合規(guī)審計的，應(yīng)當按照保護部門要求對合規(guī)審計中發(fā)現(xiàn)的問題進行整改。在整改完成后15個工作日內(nèi)，向保護部門報送整改情況報告。
第十二條 處理100萬人以上個人信息的個人信息處理者應(yīng)當指定個人信息保護負責人，負責個人信息處理者的個人信息保護合規(guī)審計工作。
提供重要互聯(lián)網(wǎng)平臺服務(wù)、用戶數(shù)量巨大、業(yè)務(wù)類型復(fù)雜的個人信息處理者，應(yīng)當成立主要由外部成員組成的獨立機構(gòu)對個人信息保護合規(guī)審計情況進行監(jiān)督。
5、明確保護部門職責
第十六條 保護部門對個人信息處理者開展個人信息保護合規(guī)審計情況進行監(jiān)督檢查。
第十七條 任何組織、個人有權(quán)對個人信息保護合規(guī)審計中的違法活動向保護部門進行投訴、舉報。收到投訴、舉報的部門應(yīng)當依法及時處理，并將處理結(jié)果告知投訴、舉報人。
走好這六步 為個人信息上把“安全鎖”
憑借多年行業(yè)實踐，天融信可提供全面的個人信息保護能力，基于個人信息保護體系咨詢規(guī)劃、個人信息保護合規(guī)評估、個人信息數(shù)據(jù)分類分級、個人信息安全影響評估、個人信息出境安全評估、個人信息安全保護技術(shù)等能力，為各行業(yè)客戶打造多維度個人信息保護解決方案，實現(xiàn)全生命周期管理。
個人信息保護體系咨詢規(guī)劃
天融信提供全面的個人信息保護體系建設(shè)咨詢規(guī)劃，包括組織架構(gòu)、管理制度、技術(shù)工具和實施方案等。同時，對企業(yè)個人信息保護主管人員及員工提供培訓，增強員工個人信息保護意識，提升企業(yè)個人信息保護能力。
個人信息保護合規(guī)評估
天融信可針對法律法規(guī)、不同行業(yè)政策及標準中各項個人信息保護要求，開展合規(guī)評估，梳理形成個人信息保護合規(guī)庫。同時，在個人信息保護合規(guī)庫中細化合規(guī)內(nèi)容，結(jié)合企業(yè)現(xiàn)狀，形成可執(zhí)行的個人信息保護細則，并且利用自動化評估工具，檢查企業(yè)各項業(yè)務(wù)中存在的個人信息保護不合規(guī)項。
個人信息數(shù)據(jù)分類分級
天融信可幫助企業(yè)開展個人信息梳理，掌握敏感個人信息分布情況。同時，結(jié)合行業(yè)個人信息分類分級指導(dǎo)文件，形成企業(yè)個人信息分類分級標準，依照標準對個人信息進行類別和級別的打標。
個人信息安全影響評估
天融信可協(xié)助企業(yè)梳理其個人信息處理活動，幫助個人信息處理者識別和分析其處理活動可能帶來的合規(guī)風險，并提供相應(yīng)解決方案來降低或消除這些風險，進而提高個人信息處理的安全性和合規(guī)性。
個人信息出境安全評估
天融信可協(xié)助企業(yè)開展個人信息安全出境自評估，梳理個人信息出境場景，開展個人信息出境安全風險評估。同時，幫助企業(yè)開展個人信息出境保護認證，制定個人信息保護認證實施細則，建立安全風險防范機制。
個人信息安全保護技術(shù)
天融信擁有全面的個人信息安全保護技術(shù)，以數(shù)據(jù)安全管理平臺為核心，同時接入安全大模型，基于個人信息識別、個人信息標記、去標識化、個人信息全鏈路監(jiān)測等能力，為企業(yè)構(gòu)建高效的個人信息安全保護平臺，及時發(fā)現(xiàn)各類個人信息泄露風險，保障企業(yè)的個人信息安全。
在數(shù)據(jù)成為新生產(chǎn)要素的背景下，個人信息的安全利用有助于加速數(shù)據(jù)要素流通，深度釋放數(shù)據(jù)價值，推動數(shù)字經(jīng)濟持續(xù)健康發(fā)展。隨著我國數(shù)字經(jīng)濟的深入發(fā)展，以及AI大模型等前沿技術(shù)的不斷進步，多層面的風險疊加致使個人信息保護面臨的挑戰(zhàn)不斷升級。
作為國家網(wǎng)絡(luò)空間安全建設(shè)的中堅力量，天融信將持續(xù)深化在個人信息保護領(lǐng)域的研究與實踐，不斷優(yōu)化完善安全產(chǎn)品、解決方案和服務(wù)，同時積極參與個人信息保護領(lǐng)域的交流合作，共同推動技術(shù)創(chuàng)新與行業(yè)發(fā)展，為個人信息安全保駕護航。
相關(guān)閱讀
1、天融信：DeepSeek行業(yè)應(yīng)用加速，大模型安全“短板”亟待補齊！
