为携带、范例个东说念主信息保护合规审计行径a片 男同，证据《中华东说念主民共和国个东说念主信息保护法》等法律法例，国度互联网信息办公室草拟了《个东说念主信息保护合规审计管制办法（征求意见稿）》，现向社会公开征求意见。公众不错通过以下阶梯和边幅冷漠反馈意见：

1.登录中华东说念主民共和国司法部 中国政府法制信息网（www.moj.gov.cn、www.chinalaw.gov.cn），干与首页主菜单的“立法意见搜集”栏目冷漠意见。

2.通过电子邮件边幅发送至：shujuju@cac.gov.cn。

3.通过信函边幅将意见寄至：北京市海淀区阜成路15号国度互联网信息办公室麇集数据管制局，邮编100048，并在信封上注明“个东说念主信息保护合规审计管制办法征求意见”。

意见反馈截止时间为2023年9月2日。

附件：个东说念主信息保护合规审计管制办法（征求意见稿）

国度互联网信息办公室

2023年8月3日

个东说念主信息保护合规审计管制办法

（征求意见稿）

第一条 为携带、范例个东说念主信息保护合规审计行径，进步个东说念主信息处理行径合规水平，保护个东说念主信息权益，证据《中华东说念主民共和国个东说念主信息保护法》等法律、行政法例和国度接洽礼貌，制定本办法。

第二条 个东说念主信息处理者按时开展个东说念主信息保护合规审计，或者按照履行个东说念主信息保护职责的部门要求录用专科机构对其个东说念主信息处理行径进行合规审计，以及对个东说念主信息保护合规审计行径的监督管制适用本办法。

第三条 本办法所称个东说念主信息保护合规审计，是指对个东说念主信息处理者的个东说念主信息处理行径是否谨守法律、行政法例的情况进行审查和评价的监督行径。

第四条 处理逾越100万东说念主个东说念主信息的个东说念主信息处理者，应当每年至少开展一次个东说念主信息保护合规审计；其他个东说念主信息处理者应当每二年至少开展一次个东说念主信息保护合规审计。

第五条 个东说念主信息处理者自行开展个东说念主信息保护合规审计，可证据骨子情况，由本组织里面机构或者录用专科机构按照本办法要求开展。

第六条 履行个东说念主信息保护职责的部门在履行职责中，发现个东说念主信息处理行径存在较大风险或者发生个东说念主信息安全事件的，不错要求个东说念主信息处理者录用专科机构对其个东说念主信息处理行径进行合规审计。

第七条 个东说念主信息处理者按照履行个东说念主信息保护职责的部门要求开展个东说念主信息保护合规审计的，应当在收到陈诉后尽快按照要求采选专科机构进行个东说念主信息保护合规审计。

第八条 个东说念主信息处理者按照履行个东说念主信息保护职责的部门要求录用专科机构开展个东说念主信息保护合规审计的，应当保证专科机构或者肤浅诈欺下列权限：

（一）要求提供或者协助查阅关系文献或府上；

（二）干与个东说念主信息处理行径关系场面；

（三）不雅察场面内发生的个东说念主信息处理行径；

（四）调查关系业务行径及所依赖的信息系统；

（五）查验、测试个东说念主信息处理行径关系蛊惑设施；

（六）调取、查阅个东说念主信息处理行径关通盘据或信息；

（七）访谈与个东说念主信息处理行径接洽的东说念主员；

（八）就关系问题进行调查、质询和取证；

（九）其他开展合规审计使命所必需的权限。

第九条 个东说念主信息处理者按照履行个东说念主信息保护职责部门要求录用专科机构开展个东说念主信息保护合规审计的，应当在90个使命日内完成个东说念主信息保护合规审计；情况复杂的，报经履行个东说念主信息保护职责的部门批准后可适当蔓延。

第十条 个东说念主信息处理者按照履行个东说念主信息保护职责部门要求录用专科机构开展个东说念主信息保护合规审计的，应当按照本办法要求组织实施个东说念主信息保护合规审计，在实施必要合规审计花样后，实时将专科机构出具的个东说念主信息保护合规审计论说报送履行个东说念主信息保护职责的部门。个东说念主信息保护合规审计论说应当由合规审计讲求东说念主、专科机构讲求东说念主署名并加盖专科机构公章。

第十一条 个东说念主信息处理者按照履行个东说念主信息保护职责的部门要求录用专科机构开展个东说念主信息保护合规审计的，应当按照专科机构给出的整改建议进行整改，经专科机构复核后将整改情况报送履行个东说念主信息保护职责的部门。

第十二条 施行个东说念主信息保护合规审计的专科机构应当保持零散性和客不雅性，团结为归拢审计对象开展个东说念主信息保护合规审计不得逾越三次。

第十三条 国度网信部门会同公安机关等国务院接洽部门按照统筹筹划、合理布局、择优推选的原则建立个东说念主信息保护合规审计专科机构推选目次，每年组织开展个东说念主信息保护合规审计专科机构评估评价，并证据评估评价情况动态调通盘东说念主信息保护合规审计专科机构推选目次。

饱读吹个东说念主信息处理者优先礼聘推选目次中的专科机构开展个东说念主信息保护合规审计行径。

第十四条 专科机构在从事个东说念主信息保护合规审计行径时，应当诚信廉明，自制客不雅地作出合规审计工作判断。

专科机构不得转包录用第三方开展个东说念主信息保护合规审计。

专科机构在履行个东说念主信息保护合规审计职责中赢得的信息，只可用于个东说念主信息保护合规审计的需要，不得用于其他用途；专科机构应当对赢得的信息承担守秘背负；专科机构应当领受相应技巧圭表和其他必要圭表，保险数据安全。

专科机构在履行个东说念主信息保护合规审计职责时不得坏心烦闷个东说念主信息处理者的肤浅计议行径。

专科机构有出具伪善、空虚论说等违纪四肢的，个东说念主信息处理者及关系方可向履行个东说念主信息保护职责的部门进行投诉，经履行个东说念主信息保护职责的部门核实的，恒久结巴列入个东说念主信息保护合规审计专科机构推选目次。

第十五条 违犯本办法例则的，依据《中华东说念主民共和国个东说念主信息保护法》等法律法例处理；组成监犯的，照章根究处分。

第十六条 本办法由国度互联网信息办公室讲求讲明，自 年 月 日起实施。

附件：个东说念主信息保护合规审计参考要点

个东说念主信息保护合规审计参考要点

第一条 本要点依据《中华东说念主民共和国个东说念主信息保护法》等法律、行政法例和国度标准的强制性要求制定，为开展个东说念主信息保护合规审计提供参考。

第二条 个东说念主信息保护合规审计应当领先审查个东说念主信息处理行径的正当性基础条件，重心审查下列事项：

（一）处理个东说念主信息是否取得个东说念主甘心，该甘心是否在个东说念主信息主体充分知情的前提下自觉、明确作出；

（二）基于个东说念主甘心处理个东说念主信息，个东说念主信息的处理见地、处理边幅和处理的个东说念主信息种类发生变更的，是否再行取得个东说念主甘心；

（三）基于个东说念主甘心处理个东说念主信息，是否为个东说念主提供方便的撤离甘心的边幅；

（四）基于个东说念主甘心处理个东说念主信息，是否对个东说念主甘心的操作进行纪录；

（五）基于个东说念主甘心处理个东说念主信息，是否存在以个东说念主不甘心处理其个东说念主信息或者撤离甘心为由，断绝提供居品或者办事的情况；处理个东说念主信息属于提供居品或者办事所必需的除外；

（六）处理个东说念主信息未取得个东说念主甘心，是否属于法律、行政法例礼貌不需取得个东说念主甘心的情形。

第三条 对个东说念主信息处理礼貌进行审计时，应当重心审查下列事项：

（一）是否着实、准确、完好意思地见告个东说念主信息处理者的称号或者姓名和接洽边幅；

（二）是否以清单体式列明所采集的个东说念主信息超越处理见地、边幅、边界；

（三）是否明确个东说念主信息存储期限或者存储期限的笃定花样、到期后的处理边幅，以及确保存储期限为终了处理见地所必要的最短时间；

（四）是否明确个东说念主查阅、复制、加工、振荡、更变、补充、删除、公开、搁置处理个东说念主信息以及刊出账号、撤离甘心的阶梯和花样；

（五）向第三方提供个东说念主信息的，是否明确向个东说念主见告接收方的称号或者姓名、接洽边幅、处理见地、处理边幅和个东说念主信息的种类，是否取得个东说念主的单独甘心；

（六）法律、行政法例礼貌的其他事项。

第四条 个东说念主信息处理者处理个东说念主信息应当履行见告义务，审计时应当重心审查下列事项：

（一）个东说念主信息处理者在处理个东说念主信息前，是否以显耀边幅、明晰易懂的讲话着实、准确、完好意思地向个东说念主见告个东说念主信息处理礼貌；

（二）见告文本的大小、字体和边幅是否便于个东说念主完好意思阅读见告事项；

（三）线下见告是否通过标注、阐明等多种边幅向个东说念主履行见告义务；

（四）在线见告是否提供文本信息或者通过适当边幅向个东说念主履行见告义务；

（五）个东说念主信息处理礼貌发生变更的，是否将变更内容实时见告个东说念主。

第五条 个东说念主信息处理者存在与他东说念主共同处理个东说念主信息情形的，应当重心审查下列事项：

（一）是否商定各自的权益义务；

（二）各方领受的个东说念主信息保护圭表；

（三）个东说念主信息权益保护机制；

（四）个东说念主信息安全事件论说机制；

（五）侵害个东说念主信息权益变成毁伤的，各方应当承担的背负；

（六）其他法律、行政法例礼貌需要商定的权益和义务。

第六条 个东说念主信息处理者存在录用处理个东说念主信息情形的，应当重心审查下列事项：

（一）个东说念主信息处理者在录用处理个东说念主信息前，是否开展个东说念主信息保护影响评估；

（二）个东说念主信息处理者与受托东说念主坚硬的合同，是否商定了录用处理的见地、期限、边幅及个东说念主信息的种类、受托东说念主应当领受的技巧圭表和管制圭表、两边的权益义务等；

（三）个东说念主信息处理者是否领受按时查验等边幅，对受托东说念主的个东说念主信息处理行径进行监督，以确保录用处理个东说念主信息的行径相宜法律礼貌；

（四）受托东说念主是否严格按照录用合同的商定处理个东说念主信息，是否存在超出商定的处理见地、处理边幅处理个东说念主信息的情况；

（五）当录用合同不见效、无效、被破除或者休止时，受托东说念主是否将个东说念主信息返还个东说念主信息处理者或者赐与删除；

（六）受托东说念主是否存在转录用他东说念主处理个东说念主信息的情况，是否得到个东说念主信息处理者的甘心。

第七条 个东说念主信息处理者存在因合并、重组、分立、斥逐、被宣告收歇等原因需要振荡个东说念主信息情形的，应当重心审查下列事项：

（一）个东说念主信息处理者是否向个东说念主见告接收方的称号或者姓名和接洽边幅；

（二）接收方是否络续履行个东说念主信息处理者的义务；

（三）接收方变更原先处理见地、处理边幅的，是否依照法律、行政法例接洽礼貌再行取得个东说念主甘心。

第八条 个东说念主信息处理者存在向其他个东说念主信息处理者提供其处理的个东说念主信息的，应当重心审查下列事项：

（一）是否取得个东说念主的单独甘心；

（二）是否向个东说念主见告接收方的称号或者姓名、接洽边幅、处理见地、处理边幅和个东说念主信息的种类；

（三）接收方是否在两边商定的处理见地、处理边幅和个东说念主信息的种类等边界内处理个东说念主信息；

（四）变更处理见地、处理边幅的，是否依照法律、行政法例礼貌再行取得个东说念主甘心；

（五）是否预先进行个东说念主信息保护影响评估。

第九条 个东说念主信息处理者利用自动化决策处理个东说念主信息的，审计时应当重心评价自动化决策的透明度和恶果的自制性、自制性：

（一）是否预先主动见告个东说念主自动化决策处理个东说念主信息的种类及可能带来的影响；

（二）是否预先对算法模子进行安全评估，并按国度关系礼貌进行备案，以尽可能减少自动化决策算法模子存在的过失，当应用场景和主邀功能发生变化时，是否对算法模子再行进行评估；

（三）是否预先对算法模子进行科技伦理审查；

（四）是否预先进行个东说念主信息保护影响评估；

（五）是否向用户提供保险机制，以便用户不错通过方便边幅断绝通过自动化决策边幅作出对个东说念主权益有要害影响的决定，或要求个东说念主信息处理者就应用自动化决策边幅作出对用户个东说念主权益有要害影响的决定赐与阐明；

（六）是否向用户提供删除或者修改用于自动化决策办事的针对其个东说念主特征的用户标签功能；

（七）是否领受必要圭表对算法和参数模子进行保护；

（八）是否对个东说念主信息处理、标签管制、模子检修等自动化决策过程中的东说念主工操作进行纪录，驻守东说念主为坏心主管自动化决策信息和恶果；

（九）向个东说念主进行信息推送、买卖营销时，是否同期提供不针对个东说念主特征的选项，或者提供方便的断绝自动化决策办事的边幅；

（十）是否领受了灵验圭表，陈腐自动化决策证据亏空者的偏好、来去习气等对个东说念主在来去条件上实行不对理的分辨待遇；

（十一）其他可能影响自动化决策的透明度和恶果自制、自制的事项。

第十条 个东说念主信息处理者存在公开其处理的个东说念主信息情形的，应当重心审查下列事项：

（一）个东说念主信息处理者公开其处理的个东说念主信息前是否取得个东说念主单独甘心，该授权是否着实、灵验，是否存在相背个东说念主意愿将个东说念主信息赐与公开的情况；

（二）个东说念主信息处理者公开个东说念主信息前，是否进行了个东说念主信息保护影响评估。

第十一条 个东说念主信息处理者在群众场面安设图像采集、个东说念主身份识别蛊惑的，应当重心对其安设图像采集、个东说念主信息身份识别蛊惑的正当性及所采集个东说念主信息的用途进行审查。审查内容包括但不限于：

（一）是否为珍惜群众安全所必需，是否存在为买卖见地处理所采集信息的情况；

（二）是否建立了显耀的教唆记号；

（三）若个东说念主信息处理者所采集的个东说念主图像、身份识别信息用于珍惜群众安全除外用途的，是否取得个东说念主单独甘心。

第十二条 个东说念主信息处理者处理已公开个东说念主信息的，审计时应当重心审查个东说念主信息处理者是否存不才列违纪四肢：

（一）向已公开个东说念主信息中的电子邮箱、手机号等发送与其公开见地无关的信息；

（二）利用已公开的个东说念主信息从事麇集暴力行径；

（三）处理个东说念主明确断绝处理的已公开个东说念主信息；

（四）未取得个东说念主甘心处理已公开的个东说念主信息对个东说念主权益变成要害影响。

第十三条 个东说念主信息处理者处理明锐个东说念主信息的，审计时应当重心审查下列事项：

（一）处理生物识别、宗教信仰、特定身份、医疗健康、金融账户、踪迹轨迹等明锐个东说念主信息的，是否预先取得个东说念主的单独甘心；

（二）处理不悦十四周岁未成年东说念主的个东说念主信息，是否预先取得未成年东说念主的父母或者其他监护东说念主的甘心；

（三）处理明锐个东说念主信息的见地、边幅是否正当、正大、必要；

（四）明锐个东说念主信息处理是否与提供商品或者办事、履行法定职责或者法界说务等特定的见地密切关系，是否以非必要不处理为原则；

（五）是否在预先进行个东说念主信息保护影响评估，并向个东说念主见告处理明锐个东说念主信息的必要性以及对个东说念主权益的影响；

（六）法律、行政法例礼貌应当取得书面甘心的，是否取得书面甘心；

（七）是否对处理明锐个东说念主信息的过程进行了纪录，以保险处理明锐个东说念主信息经过正当合规。

第十四条 个东说念主信息处理者业务波及处理不悦十四周岁未成年东说念主个东说念主信息的，审计时应当重心审查下列事项：

（一）是否制定特意的未成年东说念主个东说念主信息处理礼貌；

（二）是否向未成年东说念主超越监护东说念主见告未成年东说念主个东说念主信息的处理见地、处理边幅、处理必要性及处理个东说念主信息的种类、所领受的保护圭表等；

（三）是否存在强制要求未成年东说念主或者其监护东说念主甘心非必要的个东说念主信息处理的四肢。

第十五条 个东说念主信息处理者存在向境外提供个东说念主信息情形的，应当重心审查下列事项：

（一）要津信息基础设施运营者和处理100万东说念主以上个东说念主信息的个东说念主信息处理者向境外提供个东说念主信息是否经过国度网信部门组织的安全评估；

（二）自上年1月1日起累计向境外提供10万东说念主个东说念主信息或者1万东说念主明锐个东说念主信息的个东说念主信息处理者向境外提供个东说念主信息是否经过国度网信部门组织的安全评估；

（三）是否存在向异邦司法或者功令机构提供存储于中华东说念主民共和国境内的个东说念主信息的情形，若有，是否经过中华东说念主民共和国主管机关批准；

（四）中华东说念主民共和国缔结或者参加的海外公约、协定对向中华东说念主民共和国境外提供个东说念主信息的条件等有礼貌的，是否按照其礼貌施行；

（五）是否按照国度网信部门的礼貌，经专科机构进行个东说念主信息保护认证或者按照国度网信部门制定的标准合同与境外接收方坚硬合同，或者相宜法律、行政法例、国度网信部门礼貌的其他条件；

（六）是否了解境外接收方场地国度或者地区的个东说念主信息保护战术和麇集安全环境对出境个东说念主信息的影响；

（七）是否存在违纪向被列入搁置或者结巴个东说念主信息提供清单的组织和个东说念主提供个东说念主信息的情形。

第十六条 个东说念主信息处理者向境外提供个东说念主信息，应当领受必要圭表，保险境外接收方处理个东说念主信息的行径达到《中华东说念主民共和国个东说念主信息保护法》礼貌的个东说念主信息保护标准。审计时应当重心审查个东说念主信息处理者对境外接收方领受监督圭表的灵验性，包括但不限于：

（一）是否了解和掌执境外接收方的情况，特殊是接收方是否具备必要的个东说念主信息保护智商；

（二）是否向境外接收方见告我国法律、行政法例对个东说念主信息保护的要求，并要求境外接收方领受相应的保护圭表；

（三）是否领受坚硬协议、按时核查等边幅，督促境外接收方切实履行个东说念主信息保护义务。

第十七条 对个东说念主信息删除权保险情况进行审计时，应当重心审查下列情形个东说念主信息删除的情况：

（一）个东说念主信息处理见地已终了、无法终了或者为终了处理见地不再必要；

（二）住手提供居品或者办事，或者个东说念主刊出账号；

（三）达到与个东说念主商定的存储期限；

（四）个东说念主撤离甘心；

（五）因使用自动化采集技巧等，无法幸免采集到非必要个东说念主信息或者未经甘心的个东说念主信息；

（六）个东说念主信息处理者违犯法律、行政法例或者违犯商定处理个东说念主信息。

法律、行政法例礼貌的保存期限未届满，或者删除个东说念主信息从技巧上难以终了的，个东说念主信息处理者应当住手除存储和领受必要的安全圭表之外的处理。

第十八条 个东说念主信息处理者应当保险个东说念主诈欺个东说念主信息权益的权益，审计时应当重心审查下列事项：

（一）是否建立个东说念主诈欺权益的央求受理机制；

（二）是否向个东说念主提供方便的查阅、复制、振荡、更变、补充、删除个东说念主信息的花样；

（三）是否实时反馈个东说念主诈欺权益的央求，是否实时、完好意思、准确见告处理意见或者执作恶果。

第十九条 个东说念主信息处理者应当反馈个东说念主央求，对其个东说念主信息处理礼貌进行讲明阐明，审计时应当重心对下列内容进行评价：

（一）个东说念主信息处理者是否提供方便的边幅和阶梯，经受、处理个东说念主对于个东说念主信息处理礼貌讲明阐明的要求；

（二）接到个东说念主的要求后，个东说念主信息处理者是否在合理的时间内，使用下里巴人的讲话对其个东说念主信息处理礼貌作出讲明阐明。

第二十条 个东说念主信息处理者对个东说念主信息保护承担主体背负，审计时应当重心对个东说念主信息处理者履行主体背负情况进行评价，包括但不限于下列事项：

（一）个东说念主信息保护轨制制定、组织架构、管制花样与处理个东说念主信息的性质、限度、复杂进度、风险进度的适合性；

（二）个东说念主信息保护职责单干是否合理、职责是否明确、论说关系是否明晰；

（三）个东说念主信息处理者为个东说念主信息保护提供的东说念主、财、物保险与企业业务限度、运营贪图、个东说念主信息合规风险管制的匹配性。

第二十一条 个东说念主信息处理者应当依照法律、行政法例的礼貌制定里面管制轨制和操作规程，明确组织架构、岗亭职责，建立使命经过、完善内适度度，保险个东说念主信息处理合规与安全。审计时，应当重心对个东说念主信息处理者个东说念主信息保护里面管制轨制和操作规程进行审查，包括但不限于：

（一）个东说念主信息保护使命的方针、见地、原则是否相宜法律、行政法例礼貌；

（二）个东说念主信息保护组织架构、东说念主员配备、四肢范例、管制背负是否与应当履行的个东说念主信息保护背负相适合；

（三）是否证据个东说念主信息的种类、起首、明锐进度、用途等，对个东说念主信息进行分类，并领受有针对性的管制或者安全技巧圭表；

（四）是否建立个东说念主信息安全事件济急反馈机制；

（五）是否建立个东说念主信息保护影响评估、合规审计轨制；

（六）是否建立流畅的个东说念主信息保护投诉举报受理经过；

（七）是否制定实施个东说念主信息保护安全素养和培训贪图；

（八）是否建立个东说念主信息保护讲求东说念主及关系东说念主员履职评价轨制；

（九）是否建立针对个东说念主信息处理关系东说念主员的个东说念主信息违纪处治或者违纪四肢背负轨制，并灵验实施；

（十）法律、行政法例礼貌的其他内容。

第二十二条 个东说念主信息处理者应当领受与所处理个东说念主信息限度、类型相适合的安全技巧圭表，并对个东说念主信息处理者领受的技巧圭表的灵验性进行评价，评价内容包括但不限于：

（一）是否参照接洽国度标准或者技巧要求，领受相应安全技巧圭表终了个东说念主信息的守秘性、完好意思性、可用性；

（二）是否领受加密、去符号化等安全技巧圭表，确保在不借助颠倒信息的情况下，摈弃或者镌汰个东说念主信息的可识别性；

（三）领受的安全技巧圭表能否合理笃定接洽东说念主员查阅、复制、传输等个东说念主信息的操作权限，减少个东说念主信息在处理过程中未经授权的造访和滥用风险。

第二十三条 对个东说念主信息处理者素养培训贪图的制定和实施情况进行审计时，应当重心对下列事项进行评价：

（一）是否按贪图对管制东说念主员、技巧东说念主员、操作主说念主员、全员开展相应的安全素养和培训，是否对相应东说念主员的个东说念主信息保护意志和技巧进行调查；

（二）培训内容、培训边幅、培训对象、培训频率等能否温暖个东说念主信息保护需要。

第二十四条 处理个东说念主信息达到国度网信部门礼貌数目的个东说念主信息处理者应当指定个东说念主信息保护讲求东说念主，对个东说念主信息处理行径的合规性讲求。审计时，应当重心审查下列事项：

（一）个东说念主信息保护讲求东说念主是否具有关系的使命资格和专科学问，肃肃个东说念主信息保护关系法律、行政法例；

（二）个东说念主信息保护讲求东说念主是否具有明确明晰的职责，是否被赋予充分的权限合作组织内个东说念主信息处理关系部门与东说念主员；

（三）个东说念主信息保护讲求东说念主是否有权提名个东说念主信息保护团队讲求东说念主，并与其保持顺畅的疏通和接洽；

（四）个东说念主信息保护讲求东说念主在个东说念主信息处理要害事项决策前是否有权冷漠关系意见和建议；

（五）个东说念主信息保护讲求东说念主是否有权对组织里面个东说念主信息处理的不对规操作进行制止和领受必要的改造圭表；

（六）个东说念主信息处理者是否公开个东说念主信息保护讲求东说念主的接洽边幅，并将个东说念主信息保护讲求东说念主的姓名、接洽边幅等报送履行个东说念主信息保护职责的部门。

第二十五条 对个东说念主信息处理者开展个东说念主信息保护影响评估情况进行审计时，应当重心对影响评估开展情况和评估内容进行审查：

（一）是否依照法律、行政法例的礼貌，在进行对个东说念主权益具有要害影响的个东说念主信息处理行径前通过个东说念主信息保护影响评估；

（二）是否对个东说念主处理行径的正当性、正大性和必要性进行了分析评估，是否存在过度采集个东说念主信息的情况；

（三）是否对搁置个东说念主自主决定权、激发分辨性待遇、导致个东说念主名誉受损或者遭遇思想包袱、变成东说念主身财产受损等安全风险进行了分析评估；

（四）是否对所领受的保护圭表的正当性、灵验性、适合性进行了分析评估；

（五）个东说念主信息保护影响评估论说和处理纪录是否至少保存三年。

第二十六条 个东说念主信息处理者应当制定个东说念主信息安全事件济急预案。审计时，应当对济急预案的全面性、灵验性、可施行性作出评价，包括但不限于下列内容：

（一）是否鸠合业求骨子，对濒临的个东说念主信息安全风险作出了系统评估和斟酌；

（二）携带想想、基本策略，组织机构、东说念主员，技巧、物质保险及携带处治花样、济急和援助圭表等是否足以搪塞斟酌的风险；

（三）是否对关系东说念主员进行济急预案培训，按时对济急预案进行演练。

第二十七条 对个东说念主信息处理者个东说念主信息安全事件济急反馈处治情况进行评价时，应当重心接洽下列身分：

（一）是否按照济急预案、操作规程实时查明个东说念主信息安全事件的影响、边界和可能变成的危害，分析、笃定事件发生的原因，冷漠陈腐危害扩大的圭表决策；

（二）是否建立通报渠说念，能否在事件发生后72小时内陈诉履行个东说念主信息保护职责的部门和个东说念主；

（三）是否领受相应圭表将个东说念主信息安全事件可能变成的损结怨可能产生的危害风险镌汰到最小。

第二十八条 大型互联网平台运营者应当成立主要由外部成员组成的零散机构对个东说念主信息保护情况进行监督。审计时，应当对零散机构的零散性、履职智商、监督作用等进行评价。

（一）评价零散机构对个东说念主信息保护情况进行监督的零散性，重心审查外部成员与个东说念主信息处理者超越主要鼓吹是否存在可能妨碍其进行零散客不雅判断的关系；

（二）评价外部成员的履职智商，重心审查外部成员是否具备相应的专科学问、智商和教训，能否对个东说念主信息处理者的个东说念主信息保护情况进行监督、携带，发表客不雅自制的意见建议；

（三）评价零散机构的监督作用，重心审查零散机构在个东说念主信息处理者合规轨制体系蛊惑、平台礼貌制定、要害个东说念主信息安全事件处治、督促企业履行社会背负等方面发扬的作用。

第二十九条 针对大型互联网平台礼貌，应当重心审计下列事项：

（一）评价平台礼貌的正当合规性，是否存在与法律、行政法例相结巴的情况；

（二）评价平台礼貌的自制自制性，是否存在坏心竞争、影响亏空者权益等违犯自制竞争原则、敦朴信用原则、公序良俗的内容；

（三）评价平台礼貌个东说念主信息保护条目的灵验性，是否合理界定了平台、平台内居品或者办事提供者的个东说念主信息保护权益和义务，是否对平台内计议者处理个东说念主信息四肢进行范例，平台内计议者的个东说念主信息保护义务是否明确；

（四）查验平台礼貌的施行情况，通过抽样等边幅考据平台礼貌是否被灵验施行。

第三十条 大型互联网平台运营者应当对其平台内居品或者办事提供者的个东说念主信息处理行径进行监督。审计时，应当重心审查下列事项：

（一）是否按时审核平台内居品或者办事提供者个东说念主信息处理礼貌的正当性、合感性；

（二）是否按时对平台内居品或者办事提供者处理个东说念主信息谨守法律、行政法例情况进行审核；

（三）对于严重违犯法律、行政法例处理个东说念主信息的居品或者办事提供者，平台是否实时住手向其提供办事。

第三十一条 大型互联网平台运营者应当每年发布个东说念主信息保护社会背负论说。审计时，应当重心审查社会背负论说下列内容的走漏情况：

（一）个东说念主信息保护组织架构和里面管制情况；

（二）个东说念主信息保护智商蛊惑情况；

（三）个东说念主信息保护圭表和成效；

（四）个东说念主诈欺权益的央求受理情况；

（五）零散监督机构履职情况；

（六）要害个东说念主信息安全事件处理情况；

（七）法律、行政法例礼貌的其他情况a片 男同。