正文
第十一条
个人信息处理者按照保护部门要求开展个人信息保护合规审计的，应当按照保护部门要求对合规审计中发现的问题进行整改。在整改完成后15个工作日内，向保护部门报送整改情况报告。
第十二条
处理100万人以上个人信息的个人信息处理者应当指定个人信息保护负责人，负责个人信息处理者的个人信息保护合规审计工作。
提供重要互联网平台服务、用户数量巨大、业务类型复杂的个人信息处理者，应当成立主要由外部成员组成的独立机构对个人信息保护合规审计情况进行监督。
第十三条
专业机构在从事个人信息保护合规审计活动时，应当遵守法律法规，诚信正直，公正客观地作出合规审计职业判断，对在履行个人信息保护合规审计职责中获得的个人信息、商业秘密、保密商务信息等应当依法予以保密，不得泄露或者非法向他人提供，在合规审计工作结束后及时删除相关信息。
第十四条
专业机构不得转委托其他机构开展个人信息保护合规审计。
第十五条
同一专业机构及其关联机构、同一合规审计负责人不得连续三次以上对同一审计对象开展个人信息保护合规审计。
第十六条
保护部门对个人信息处理者开展个人信息保护合规审计情况进行监督检查。
第十七条
任何组织、个人有权对个人信息保护合规审计中的违法活动向保护部门进行投诉、举报。收到投诉、举报的部门应当依法及时处理，并将处理结果告知投诉、举报人。
第十八条
个人信息处理者、专业机构违反本办法规定的，依照《中华人民共和国个人信息保护法》、《网络数据安全管理条例》等法律法规的规定处理；构成犯罪的，依法追究刑事责任。
第十九条
对国家机关和法律、法规授权的具有管理公共事务职能的组织的个人信息保护合规审计，不适用本办法。
第二十条
本办法自2025年5月1日起施行。
附件
个人信息保护合规审计指引
一、本指引根据《中华人民共和国个人信息保护法》、《网络数据安全管理条例》等法律、行政法规制定。
二、对个人信息处理活动的合法性基础进行合规审计的，应当重点审查下列事项：
（一）基于个人同意处理个人信息的，是否取得个人同意，该同意是否由个人在充分知情的前提下自愿、明确作出；
（二）基于个人同意处理个人信息的，个人信息的处理目的、处理方式、处理的个人信息种类发生变更的，是否重新取得个人同意；
（三）基于个人同意处理个人信息的，是否依照法律、行政法规取得个人单独同意或者书面同意；
（四）处理个人信息未取得个人同意的，是否属于法律、行政法规规定不需要取得个人同意的情形。
三、对个人信息处理规则进行合规审计的，应当重点审查下列事项：
（一）是否真实、准确、完整地告知个人信息处理者的名称或者姓名和联系方式；
（二）是否以清单等便于查看的形式列明所收集的个人信息及其处理方式和种类；
（三）是否与处理目的直接相关，采取对个人权益影响最小的方式；
（四）是否明确个人信息保存期限或者保存期限的确定方法、到期后的处理方式，以及确定保存期限为实现处理目的所必要的最短时间；
（五）是否明确个人查阅、复制、转移、更正、补充、删除、限制处理个人信息以及注销账号、撤回同意的途径和方法。
四、对个人信息处理者履行告知个人信息处理规则义务进行合规审计的，应当重点审查下列事项：
（一）个人信息处理者在处理个人信息前，是否以显著方式、清晰易懂的语言真实、准确、完整地向个人告知个人信息处理规则；
（二）告知文本的大小、字体和颜色是否便于个人完整阅读告知事项；
（三）线下告知是否通过标注、说明等多种方式向个人履行告知义务；
（四）在线告知是否提供文本信息或者通过适当方式向个人履行告知义务；
（五）个人信息处理规则发生变更的，是否将变更内容及时告知个人；
（六）处理个人信息不需要告知的，是否属于法律、行政法规规定应当保密或者不需要告知的情形。
五、对个人信息处理者与其他个人信息处理者共同处理个人信息进行合规审计的，应当重点审查下列事项：
（一）是否约定各自的权利义务；
（二）个人信息权益保护机制；
（三）个人信息安全事件报告机制；
（四）其他法律、行政法规规定需要约定的权利和义务。
六、对个人信息处理者委托处理个人信息进行合规审计的，应当重点审查下列事项：
（一）个人信息处理者在委托处理个人信息前，是否开展个人信息保护影响评估；
（二）个人信息处理者与受托人签订的合同，是否与受托人约定了委托处理的目的、期限、方式、个人信息的种类、保护措施以及双方的权利义务等；
（三）个人信息处理者是否采取定期检查等方式，对受托人的个人信息处理活动进行监督。
七、个人信息处理者存在因合并、重组、分立、解散、被宣告破产等原因需要转移个人信息情形的，应当重点审查个人信息处理者是否向个人告知接收方的名称或者姓名和联系方式。
