【条文主旨】
本条是关于个人信息处理活动中处理者合规审计义务的规定。
【条文理解】
一、合规审计的目的
合规性审计的性质是一种经济合规监督活动,主要指审计机构和审计人员依据国家法律、法规和财经制度,对被审计单位的生产经营管理活动及其有关资料是否合规所进行的一种监督活动。审计就其组织形式而言,一般分为内审和外审,前者是指信息处理者内部设立的审计部门,后者是指第三方的审计机构。
《个人信息保护法》第54条确立了个人信息处理者的合规审计制度:“个人信息处理者应当定期对其处理个人信息遵守法律、行政法规的情况进行合规审计。”个人信息合规审计的主要目的,一方面是发现、控制和避免处理者处理个人信息不合规,引发法律责任、受到相关处罚、造成经济或声誉损失以及其他负面影响的可能性;另一方面,也是证实处理者处理个人信息活动合规的重要证据。因此,从审计目的出发来看,个人信息处理者应当自发定期地对其个人信息处理活动进行合规审计,审计范围应当包含其全部个人信息处理活动,并留存审计记录,阶段性地积累其合规处理数据的义务履行证明。
二、合规审计的方式
《个人信息保护法(草案)》第53条规定:“个人信息处理者应当定期对其个人信息处理活动、采取的保护措施等是否符合法律、行政法规的规定进行审计。履行个人信息保护职责的部门有权要求个人信息处理者委托专业机构进行审计。”在《个人信息保护法》的正式稿中,仅保留了个人信息处理者发起的定期审计形式,而将“被动审计”列入了第64条的规定,即“履行个人信息保护职责的部门在履行职责中,发现个人信息处理活动存在较大风险或者发生个人信息安全事件的,可以按照规定的权限和程序对该个人信息处理者的法定代表人或者主要负责人进行约谈,或者要求个人信息处理者委托专业机构对其个人信息处理活动进行合规审计”。
在主动发起的定期审计中,参考《商务部关于两用物项出口经营者建立出口管制内部合规机制的指导意见》第3条第7款规定合规审计可以由处理者内部专人进行,也可以聘请外部第三方机构进行;此外,国家推荐标准《信息安全技术个人信息安全规范》(GB/T 35273—2020)规定个人信息保护负责人和个人信息保护工作机构的职责之一为进行安全审计。因此,我们认为《个人信息保护法》第54条规定的个人信息处理者主动定期合规审计可以由个人信息处理者内部部门或人员进行,如审计部门、法务部门、合规部门、监察部门等,也可以委托第三方机构进行,如律师事务所、会计师事务所等。对于被动临时性合规审计下的“专业机构”,还有待于
法律法规或权威解释的进一步明确。
三、合规审计的内容
《个人信息保护法》第54条仅对个人信息处理者的安全审计要求进行了原则性规定,在具体实施细则落地以前,《信息安全技术个人信息安全规范》第11.7条关于安全审计的规定具有较高的参考价值,该审计条款“对个人信息控制者的要求包括:a)应对个人信息保护政策、相关规程和安全措施的有效性进行审计;b)应建立自动化审计系统,监测记录个人信息处理活动;c)审计过程形成的记录应能对安全事件的处置、应急响应和事后调查提供支撑;d)应防止非授权访问、篡改或删除审计记录;e)应及时处理审计过程中发现的个人信息违规使用、滥用等情况;f)审计记录和留存时间应符合法律法规的要求。”
在《信息安全技术个人信息安全规范》基础上,《个人金融信息保护技术规范》(JR/T D171—2020)第7.4.1条对于监控与审计的内容也作出了补充要求,包括:“a)应识别并记录包括但不限于管理员用户、业务用户对个人金融信息的访问。b)应对个人金融信息数据交换网络流量进行安全监控和分析,并存储匹配安全规则的数据,以备事件溯源。c)日志文件和匹配规则的数据应至少保存6个月,应定期对所有系统组件日志进行审计,包括但不限于存储、处理或传输个人金融信息的系统组件日志、执行安全功能的系统组件日志(如防火墙、入侵检测系统、验证服务器等)、安全事件日志等。d)应采取技术手段对个人金融信息全生命周期进行安全风险识别和管控,如恶意代码检测、异常流量监测、用户行为分析等”。
四、域外相关制度
英国、欧盟、新加坡、美国等国家也存在个人信息保护合规审计的规定,除英国的审计机构是英国信息专员办公室(ICO)外,其他国家基本由处理者内部指定的数据保护官(DPO)负责审计,其审计条件、审计依据、审计程序、合规清单等方面都存在较完善的法律规范性文件与指南。例如英国,ICO针对双方约定的审计和强制审计规定了不同程序,并针对数据控制者和处理者提供了不同审计清单;欧盟,对需要进行审计的处理者范围有如下规定:“虽然这在技术上只能适用于员工人数超过250人的组织,但也有一些例外情况,例如:数据处理不是偶然的;处理过程中涉及特殊类别的数据,或与刑事事项有关的数据;数据处理可能导致对数据主体的权利和自由的风险”,并根据公司的生产规模,对公司处理的数据的数量和类型等制定了不同的审计清单。其合规审计落地指引部分值得我国参考。