科技日報記者 崔爽
為指導、規范個人信息保護合規審計活動，提高個人信息處理活動合規水平，國家網信辦3日發布《個人信息保護合規審計管理辦法（征求意見稿）》（以下簡稱征求意見稿），提出處理超過100萬人個人信息的處理者，應當每年至少開展一次個人信息保護合規審計；其他個人信息處理者應當每二年至少開展一次個人信息保護合規審計。
征求意見稿所稱個人信息保護合規審計，是指對個人信息處理者的個人信息處理活動是否遵守法律、行政法規的情況進行審查和評價的監督活動。
征求意見稿指出，國家網信部門會同公安機關等國務院有關部門，按照統籌規劃、合理布局、擇優推薦的原則建立個人信息保護合規審計專業機構推薦目錄，每年組織開展評估評價，并根據評估評價情況對目錄進行動態調整。
征求意見稿指出，個人信息處理者利用自動化決策處理個人信息的，審計時應當重點評價自動化決策的透明度和結果的公平性、公正性，包括是否事前對算法模型進行安全評估、科技倫理審查等。
征求意見稿提出，個人信息處理者在公共場所安裝圖像采集、個人身份識別設備的，應當重點對其設備的合法性及所收集個人信息的用途進行審查。審查內容包括但不限于是否為維護公共安全所必需，是否存在為商業目的處理所采集信息的情況；是否設置了顯著的提示標志等。
根據征求意見稿，個人信息處理者業務涉及處理不滿十四周歲未成年人個人信息的，審計時應當重點審查是否制定專門的未成年人個人信息處理規則等事項。個人信息處理者存在向境外提供個人信息情形的，應當重點審查關鍵信息基礎設施運營者和處理100萬人以上個人信息的個人信息處理者，向境外提供個人信息是否經過國家網信部門組織的安全評估等事項。
大型互聯網平臺運營者應當成立主要由外部成員組成的獨立機構對個人信息保護情況進行監督。審計時，應當對獨立機構的獨立性、履職能力、監督作用等進行評價。
