为指挥、范例个东说念主信息保护合规审计看成第四色小说网，把柄《中华东说念主民共和国个东说念主信息保护法》等法律礼貌，国度互联网信息办公室草拟了《个东说念主信息保护合规审计管束办法（征求观念稿）》，现向社会公开征求观念。公众不错通过以下阶梯和方式提议反馈观念：
1.登录中华东说念主民共和国司法部 中国政府法制信息网（www.moj.gov.cn、www.chinalaw.gov.cn），插足首页主菜单的“立法观念搜集”栏目提议观念。
2.通过电子邮件方式发送至：shujuju@cac.gov.cn。
3.通过信函方式将观念寄至：北京市海淀区阜成路15号国度互联网信息办公室集会数据管束局，邮编100048，并在信封上注明“个东说念主信息保护合规审计管束办法征求观念”。
观念反馈截止时候为2023年9月2日。
附件：个东说念主信息保护合规审计管束办法（征求观念稿）
国度互联网信息办公室
2023年8月3日
个东说念主信息保护合规审计管束办法
（征求观念稿）
第一条 为指挥、范例个东说念主信息保护合规审计看成，扶植个东说念主信息处理看成合规水平，保护个东说念主信息权益，把柄《中华东说念主民共和国个东说念主信息保护法》等法律、行政礼貌和国度相关规定，制定本办法。
第二条 个东说念主信息处理者依期开展个东说念主信息保护合规审计，或者按照履行个东说念主信息保护职责的部门要求交付专科机构对其个东说念主信息处理看成进行合规审计，以及对个东说念主信息保护合规审计看成的监督管束适用本办法。
第三条 本办法所称个东说念主信息保护合规审计，是指对个东说念主信息处理者的个东说念主信息处理看成是否盲从法律、行政礼貌的情况进行审查和评价的监督看成。
第四条 处理朝上100万东说念主个东说念主信息的个东说念主信息处理者，应当每年至少开展一次个东说念主信息保护合规审计；其他个东说念主信息处理者应当每二年至少开展一次个东说念主信息保护合规审计。
第五条 个东说念主信息处理者自行开展个东说念主信息保护合规审计，可把柄实质情况，由本组织里面机构或者交付专科机构按照本办法要求开展。
第六条 履行个东说念主信息保护职责的部门在履行职责中，发现个东说念主信息处理看成存在较大风险或者发生个东说念主信息安全事件的，不错要求个东说念主信息处理者交付专科机构对其个东说念主信息处理看成进行合规审计。
第七条 个东说念主信息处理者按照履行个东说念主信息保护职责的部门要求开展个东说念主信息保护合规审计的，应当在收到讲述后尽快按照要求遴选专科机构进行个东说念主信息保护合规审计。
第八条 个东说念主信息处理者按照履行个东说念主信息保护职责的部门要求交付专科机构开展个东说念主信息保护合规审计的，应当保证专科机构约略平常期骗下列权限：
（一）要求提供或者协助查阅关联文献或府上；
（二）插足个东说念主信息处理看成关联场地；
（三）不雅察场地内发生的个东说念主信息处理看成；
（四）调查关联业务看成及所依赖的信息系统；
（五）检讨、测试个东说念主信息处理看成关联拓荒设施；
（六）调取、查阅个东说念主信息处理看成关联数据或信息；
（七）访谈与个东说念主信息处理看成相关的东说念主员；
（八）就关联问题进行调查、质询和取证；
（九）其他开展合规审计使命所必需的权限。
第九条 个东说念主信息处理者按照履行个东说念主信息保护职责部门要求交付专科机构开展个东说念主信息保护合规审计的，应当在90个使命日内完成个东说念主信息保护合规审计；情况复杂的，报经履行个东说念主信息保护职责的部门批准后可得当蔓延。
第十条 个东说念主信息处理者按照履行个东说念主信息保护职责部门要求交付专科机构开展个东说念主信息保护合规审计的，应当按照本办法要求组织实施个东说念主信息保护合规审计，在实施必要合规审计方法后，实时将专科机构出具的个东说念主信息保护合规审计敷陈报送履行个东说念主信息保护职责的部门。个东说念主信息保护合规审计敷陈应当由合规审计厚爱东说念主、专科机构厚爱东说念主署名并加盖专科机构公章。
第十一条 个东说念主信息处理者按照履行个东说念主信息保护职责的部门要求交付专科机构开展个东说念主信息保护合规审计的，应当按照专科机构给出的整改建议进行整改，经专科机构复核后将整改情况报送履行个东说念主信息保护职责的部门。
第十二条 实践个东说念主信息保护合规审计的专科机构应当保持沉寂性和客不雅性，诱骗为并吞审计对象开展个东说念主信息保护合规审计不得朝上三次。
第十三条 国度网信部门会同公安机关等国务院相关部门按照统筹诡计、合理布局、择优保举的原则建立个东说念主信息保护合规审计专科机构保举目次，每年组织开展个东说念主信息保护合规审计专科机构评估评价，并把柄评估评价情况动态调理个这个词东说念主信息保护合规审计专科机构保举目次。
饱读舞个东说念主信息处理者优先遴荐保举目次中的专科机构开展个东说念主信息保护合规审计看成。
第十四条 专科机构在从事个东说念主信息保护合规审计看成时，应当诚信梗直，公正客不雅地作出合规审计功绩判断。
专科机构不得转包交付第三方开展个东说念主信息保护合规审计。
专科机构在履行个东说念主信息保护合规审计职责中获取的信息，只可用于个东说念主信息保护合规审计的需要，不得用于其他用途；专科机构应当对获取的信息承担守秘背负；专科机构应当采纳相应本事设施和其他必要设施，保险数据安全。
专科机构在履行个东说念主信息保护合规审计职责时不得坏心搅扰个东说念主信息处理者的平常筹划看成。
色情播播专科机构有出具乌有、特殊敷陈等违纪步履的，个东说念主信息处理者及关联方可向履行个东说念主信息保护职责的部门进行投诉，经履行个东说念主信息保护职责的部门核实的，长久不容列入个东说念主信息保护合规审计专科机构保举目次。
第十五条 违背本办礼貌则的，依据《中华东说念主民共和国个东说念主信息保护法》等法律礼貌处理；组成积恶的，照章根究贬责。
第十六条 本办法由国度互联网信息办公室厚爱评释，自 年 月 日起履行。
附件：个东说念主信息保护合规审计参考要点
个东说念主信息保护合规审计参考要点
第一条 本要点依据《中华东说念主民共和国个东说念主信息保护法》等法律、行政礼貌和国度法式的强制性要求制定，为开展个东说念主信息保护合规审计提供参考。
第二条 个东说念主信息保护合规审计应当领先审查个东说念主信息处理看成的正当性基础条件，要点审查下列事项：
（一）处理个东说念主信息是否取得个东说念主欢喜，该欢喜是否在个东说念主信息主体充分知情的前提下自觉、明确作出；
（二）基于个东说念主欢喜处理个东说念主信息，个东说念主信息的处理方针、处理方式和处理的个东说念主信息种类发生变更的，是否再行取得个东说念主欢喜；
（三）基于个东说念主欢喜处理个东说念主信息，是否为个东说念主提供浅薄的退缩欢喜的方式；
（四）基于个东说念主欢喜处理个东说念主信息，是否对个东说念主欢喜的操作进行记载；
（五）基于个东说念主欢喜处理个东说念主信息，是否存在以个东说念主不欢喜处理其个东说念主信息或者退缩欢喜为由，断绝提供家具或者作事的情况；处理个东说念主信息属于提供家具或者作事所必需的除外；
（六）处理个东说念主信息未取得个东说念主欢喜，是否属于法律、行政礼貌规定不需取得个东说念主欢喜的情形。
第三条 对个东说念主信息处理规定进行审计时，应当要点审查下列事项：
（一）是否竟然、准确、竣工地见告个东说念主信息处理者的称号或者姓名和筹谋方式；
（二）是否以清单体式列明所采集的个东说念主信息偏激处理方针、方式、领域；
（三）是否明确个东说念主信息存储期限或者存储期限的详情方法、到期后的处理方式，以及确保存储期限为完了处理方针所必要的最短时候；
（四）是否明确个东说念主查阅、复制、加工、滚动、改造、补充、删除、公开、收尾处理个东说念主信息以及刊出账号、退缩欢喜的阶梯和方法；
（五）向第三方提供个东说念主信息的，是否明确向个东说念主见告吸收方的称号或者姓名、筹谋方式、处理方针、处理方式和个东说念主信息的种类，是否取得个东说念主的单独欢喜；
（六）法律、行政礼貌规定的其他事项。
第四条 个东说念主信息处理者处理个东说念主信息应当履行见告义务，审计时应当要点审查下列事项：
（一）个东说念主信息处理者在处理个东说念主信息前，是否以权臣方式、明晰易懂的话语竟然、准确、竣工地向个东说念主见告个东说念主信息处理规定；
（二）见告文本的大小、字体和方式是否便于个东说念主竣工阅读见告事项；
（三）线下见告是否通过标注、阐发等多种方式向个东说念主履行见告义务；
（四）在线见告是否提供文本信息或者通过得当方式向个东说念主履行见告义务；
（五）个东说念主信息处理规定发生变更的，是否将变更内容实时见告个东说念主。
第五条 个东说念主信息处理者存在与他东说念主共同处理个东说念主信息情形的，应当要点审查下列事项：
（一）是否商定各自的权益义务；
（二）各方采纳的个东说念主信息保护设施；
（三）个东说念主信息权益保护机制；
（四）个东说念主信息安全事件敷陈机制；
（五）侵害个东说念主信息权益酿成损伤的，各方应当承担的背负；
（六）其他法律、行政礼貌规定需要商定的权益和义务。
第六条 个东说念主信息处理者存在交付处理个东说念主信息情形的，应当要点审查下列事项：
（一）个东说念主信息处理者在交付处理个东说念主信息前，是否开展个东说念主信息保护影响评估；
（二）个东说念主信息处理者与受托东说念主坚强的合同，是否商定了交付处理的方针、期限、方式及个东说念主信息的种类、受托东说念主应当采纳的本事设施和管束设施、两边的权益义务等；
（三）个东说念主信息处理者是否采纳依期检讨等方式，对受托东说念主的个东说念主信息处理看成进行监督，以确保交付处理个东说念主信息的看成相宜法律规定；
（四）受托东说念主是否严格按照交付合同的商定处理个东说念主信息，是否存在超出商定的处理方针、处理方式处理个东说念主信息的情况；
（五）当交付合同不收效、无效、被废除或者阻隔时，受托东说念主是否将个东说念主信息返还个东说念主信息处理者或者赐与删除；
（六）受托东说念主是否存在转交付他东说念主处理个东说念主信息的情况，是否得到个东说念主信息处理者的欢喜。
第七条 个东说念主信息处理者存在因合并、重组、分立、终结、被宣告歇业等原因需要滚动个东说念主信息情形的，应当要点审查下列事项：
（一）个东说念主信息处理者是否向个东说念主见告吸收方的称号或者姓名和筹谋方式；
（二）吸收方是否继续履行个东说念主信息处理者的义务；
（三）吸收方变更原先处理方针、处理方式的，是否依照法律、行政礼貌相关规定再行取得个东说念主欢喜。
第八条 个东说念主信息处理者存在向其他个东说念主信息处理者提供其处理的个东说念主信息的，应当要点审查下列事项：
（一）是否取得个东说念主的单独欢喜；
（二）是否向个东说念主见告吸收方的称号或者姓名、筹谋方式、处理方针、处理方式和个东说念主信息的种类；
（三）吸收方是否在两边商定的处理方针、处理方式和个东说念主信息的种类等领域内处理个东说念主信息；
（四）变更处理方针、处理方式的，是否依照法律、行政礼貌规定再行取得个东说念主欢喜；
（五）是否事先进行个东说念主信息保护影响评估。
第九条 个东说念主信息处理者利用自动化决策处理个东说念主信息的，审计时应当要点评价自动化决策的透明度和成果的公正性、公正性：
（一）是否事先主动见告个东说念主自动化决策处理个东说念主信息的种类及可能带来的影响；
（二）是否事先对算法模子进行安全评估，并按国度关联规定进行备案，以尽可能减少自动化决策算法模子存在的过失，当应用场景和主邀功能发生变化时，是否对算法模子再行进行评估；
（三）是否事先对算法模子进行科技伦理审查；
（四）是否事先进行个东说念主信息保护影响评估；
（五）是否向用户提供保险机制，以便用户不错通过浅薄方式断绝通过自动化决策方式作出对个东说念主权益有要紧影响的决定，或要求个东说念主信息处理者就应用自动化决策方式作出对用户个东说念主权益有要紧影响的决定赐与阐发；
（六）是否向用户提供删除或者修改用于自动化决策作事的针对其个东说念主特征的用户标签功能；
（七）是否采纳必要设施对算法和参数模子进行保护；
（八）是否对个东说念主信息处理、标签管束、模子闇练等自动化决策过程中的东说念主工操作进行记载，防护东说念主为坏心掌握自动化决策信息和成果；
（九）向个东说念主进行信息推送、生意营销时，是否同期提供不针对个东说念主特征的选项，或者提供浅薄的断绝自动化决策作事的方式；
（十）是否采纳了灵验设施，防患自动化决策把柄耗尽者的偏好、交游习气等对个东说念主在交游条件上实行分歧理的分离待遇；
（十一）其他可能影响自动化决策的透明度和成果公正、公正的事项。
第十条 个东说念主信息处理者存在公开其处理的个东说念主信息情形的，应当要点审查下列事项：
（一）个东说念主信息处理者公开其处理的个东说念主信息前是否取得个东说念主单独欢喜，该授权是否竟然、灵验，是否存在相背个东说念主意愿将个东说念主信息赐与公开的情况；
（二）个东说念主信息处理者公开个东说念主信息前，是否进行了个东说念主信息保护影响评估。
第十一条 个东说念主信息处理者在大家场地装置图像采集、个东说念主身份识别拓荒的，应当要点对其装置图像采集、个东说念主信息身份识别拓荒的正当性及所采集个东说念主信息的用途进行审查。审查内容包括但不限于：
（一）是否为保重大家安全所必需，是否存在为生意方针处理所采集信息的情况；
（二）是否配置了权臣的领导标记；
（三）若个东说念主信息处理者所采集的个东说念主图像、身份识别信息用于保重大家安全之外用途的，是否取得个东说念主单独欢喜。
第十二条 个东说念主信息处理者处理已公开个东说念主信息的，审计时应当要点审查个东说念主信息处理者是否存不才列违纪步履：
（一）向已公开个东说念主信息中的电子邮箱、手机号等发送与其公开方针无关的信息；
（二）利用已公开的个东说念主信息从事集会暴力看成；
（三）处理个东说念主明确断绝处理的已公开个东说念主信息；
（四）未取得个东说念主欢喜处理已公开的个东说念主信息对个东说念主权益酿成要紧影响。
第十三条 个东说念主信息处理者处理明锐个东说念主信息的，审计时应当要点审查下列事项：
（一）处理生物识别、宗教信仰、特定身份、医疗健康、金融账户、踪迹轨迹等明锐个东说念主信息的，是否事先取得个东说念主的单独欢喜；
（二）处理不悦十四周岁未成年东说念主的个东说念主信息，是否事先取得未成年东说念主的父母或者其他监护东说念主的欢喜；
（三）处理明锐个东说念主信息的方针、方式是否正当、刚直、必要；
（四）明锐个东说念主信息处理是否与提供商品或者作事、履行法定职责或者法界说务等特定的方针密切关联，是否以非必要不处理为原则；
（五）是否在事先进行个东说念主信息保护影响评估，并向个东说念主见告处理明锐个东说念主信息的必要性以及对个东说念主权益的影响；
（六）法律、行政礼貌规定应当取得书面欢喜的，是否取得书面欢喜；
（七）是否对处理明锐个东说念主信息的过程进行了记载，以保险处理明锐个东说念主信息经过正当合规。
第十四条 个东说念主信息处理者业务波及处理不悦十四周岁未成年东说念主个东说念主信息的，审计时应当要点审查下列事项：
（一）是否制定有益的未成年东说念主个东说念主信息处理规定；
（二）是否向未成年东说念主偏激监护东说念主见告未成年东说念主个东说念主信息的处理方针、处理方式、处理必要性及处理个东说念主信息的种类、所采纳的保护设施等；
（三）是否存在强制要求未成年东说念主或者其监护东说念主欢喜非必要的个东说念主信息处理的步履。
第十五条 个东说念主信息处理者存在向境外提供个东说念主信息情形的，应当要点审查下列事项：
（一）要害信息基础设施运营者和处理100万东说念主以上个东说念主信息的个东说念主信息处理者向境外提供个东说念主信息是否经过国度网信部门组织的安全评估；
（二）自上年1月1日起累计向境外提供10万东说念主个东说念主信息或者1万东说念主明锐个东说念主信息的个东说念主信息处理者向境外提供个东说念主信息是否经过国度网信部门组织的安全评估；
（三）是否存在向异邦司法或者王法机构提供存储于中华东说念主民共和国境内的个东说念主信息的情形，若有，是否经过中华东说念主民共和国主管机关批准；
（四）中华东说念主民共和国缔结或者参加的外洋左券、协定对向中华东说念主民共和国境外提供个东说念主信息的条件等有规定的，是否按照其规定实践；
（五）是否按照国度网信部门的规定，经专科机构进行个东说念主信息保护认证或者按照国度网信部门制定的法式合同与境外吸收方坚强合同，或者相宜法律、行政礼貌、国度网信部门规定的其他条件；
（六）是否了解境外吸收方处所国度或者地区的个东说念主信息保护计策和集会安全环境对出境个东说念主信息的影响；
（七）是否存在违纪向被列入收尾或者不容个东说念主信息提供清单的组织和个东说念主提供个东说念主信息的情形。
第十六条 个东说念主信息处理者向境外提供个东说念主信息，应当采纳必要设施，保险境外吸收方处理个东说念主信息的看成达到《中华东说念主民共和国个东说念主信息保护法》规定的个东说念主信息保护法式。审计时应当要点审查个东说念主信息处理者对境外吸收方采纳监督设施的灵验性，包括但不限于：
（一）是否了解和掌持境外吸收方的情况，异常是吸收方是否具备必要的个东说念主信息保护智力；
（二）是否向境外吸收方见告我国法律、行政礼貌对个东说念主信息保护的要求，并要求境外吸收方采纳相应的保护设施；
（三）是否采纳坚强协议、依期核查等方式，督促境外吸收方切实履行个东说念主信息保护义务。
第十七条 对个东说念主信息删除权保险情况进行审计时，应当要点审查下列情形个东说念主信息删除的情况：
（一）个东说念主信息处理方针已完了、无法完了或者为完了处理方针不再必要；
（二）罢手提供家具或者作事，或者个东说念主刊出账号；
（三）达到与个东说念主商定的存储期限；
（四）个东说念主退缩欢喜；
（五）因使用自动化采集本事等，无法幸免采集到非必要个东说念主信息或者未经欢喜的个东说念主信息；
（六）个东说念主信息处理者违背法律、行政礼貌或者违背商定处理个东说念主信息。
法律、行政礼貌规定的保存期限未届满，或者删除个东说念主信息从本事上难以完了的，个东说念主信息处理者应当罢手除存储和采纳必要的安全设施之外的处理。
第十八条 个东说念主信息处理者应当保险个东说念主期骗个东说念主信息权益的权益，审计时应当要点审查下列事项：
（一）是否建立个东说念主期骗权益的央求受理机制；
（二）是否向个东说念主提供浅薄的查阅、复制、滚动、改造、补充、删除个东说念主信息的方法；
（三）是否实时反映个东说念主期骗权益的央求，是否实时、竣工、准确见告处理观念或者实践成果。
第十九条 个东说念主信息处理者应当反映个东说念主央求，对其个东说念主信息处理规定进行评释阐发，审计时应当要点对下列内容进行评价：
（一）个东说念主信息处理者是否提供浅薄的方式和阶梯，吸收、处理个东说念主对于个东说念主信息处理规定评释阐发的要求；
（二）接到个东说念主的要求后，个东说念主信息处理者是否在合理的时候内，使用约略明了的话语对其个东说念主信息处理规定作出评释阐发。
第二十条 个东说念主信息处理者对个东说念主信息保护承担主体背负，审计时应当要点对个东说念主信息处理者履行主体背负情况进行评价，包括但不限于下列事项：
（一）个东说念主信息保护轨制制定、组织架构、管束方法与处理个东说念主信息的性质、领域、复杂进程、风险进程的适合性；
（二）个东说念主信息保护职责单干是否合理、职责是否明确、敷陈关系是否明晰；
（三）个东说念主信息处理者为个东说念主信息保护提供的东说念主、财、物保险与企业业务领域、运营野心、个东说念主信息合规风险管束的匹配性。
第二十一条 个东说念主信息处理者应当依照法律、行政礼貌的规定制定里面管束轨制和操作规程，明确组织架构、岗亭职责，建立使命经过、完善内戒指度，保险个东说念主信息处理合规与安全。审计时，应当要点对个东说念主信息处理者个东说念主信息保护里面管束轨制和操作规程进行审查，包括但不限于：
（一）个东说念主信息保护使命的方针、野心、原则是否相宜法律、行政礼貌规定；
（二）个东说念主信息保护组织架构、东说念主员配备、步履范例、管束背负是否与应当履行的个东说念主信息保护背负相适合；
（三）是否把柄个东说念主信息的种类、着手、明锐进程、用途等，对个东说念主信息进行分类，并采纳有针对性的管束或者安全本事设施；
（四）是否建立个东说念主信息安全事件济急反映机制；
（五）是否建立个东说念主信息保护影响评估、合规审计轨制；
（六）是否建立流通的个东说念主信息保护投诉举报受理经过；
（七）是否制定实施个东说念主信息保护安全老师和培训野心；
（八）是否建立个东说念主信息保护厚爱东说念主及关联东说念主员履职评价轨制；
（九）是否建立针对个东说念主信息处理关联东说念主员的个东说念主信息违纪惩处或者违纪步履背负轨制，并灵验实施；
（十）法律、行政礼貌规定的其他内容。
第二十二条 个东说念主信息处理者应当采纳与所处理个东说念主信息领域、类型相适合的安全本事设施，并对个东说念主信息处理者采纳的本事设施的灵验性进行评价，评价内容包括但不限于：
（一）是否参影相关国度法式或者本事要求，采纳相应安全本事设施完了个东说念主信息的守秘性、竣工性、可用性；
（二）是否采纳加密、去标记化等安全本事设施，确保在不借助稀奇信息的情况下，排除或者裁减个东说念主信息的可识别性；
（三）采纳的安全本事设施能否合理详情相关东说念主员查阅、复制、传输等个东说念主信息的操作权限，减少个东说念主信息在处理过程中未经授权的拜谒和糜费风险。
第二十三条 对个东说念主信息处理者老师培训野心的制定和实施情况进行审计时，应当要点对下列事项进行评价：
（一）是否按野心对管束东说念主员、本事东说念主员、操作主说念主员、全员开展相应的安全老师和培训，是否对相应东说念主员的个东说念主信息保护相识和手段进行视察；
（二）培训内容、培训方式、培训对象、培训频率等能否沸腾个东说念主信息保护需要。
第二十四条 处理个东说念主信息达到国度网信部门规定数目的个东说念主信息处理者应当指定个东说念主信息保护厚爱东说念主，对个东说念主信息处理看成的合规性厚爱。审计时，应当要点审查下列事项：
（一）个东说念主信息保护厚爱东说念主是否具有关联的使命履历和专科学问，熟悉个东说念主信息保护关联法律、行政礼貌；
（二）个东说念主信息保护厚爱东说念主是否具有明确明晰的职责，是否被赋予充分的权限合营组织内个东说念主信息处理关联部门与东说念主员；
（三）个东说念主信息保护厚爱东说念主是否有权提名个东说念主信息保护团队厚爱东说念主，并与其保持顺畅的交流和筹谋；
（四）个东说念主信息保护厚爱东说念主在个东说念主信息处理要紧事项决策前是否有权提议关联观念和建议；
（五）个东说念主信息保护厚爱东说念主是否有权对组织里面个东说念主信息处理的分歧规操作进行制止和采纳必要的改造设施；
（六）个东说念主信息处理者是否公开个东说念主信息保护厚爱东说念主的筹谋方式，并将个东说念主信息保护厚爱东说念主的姓名、筹谋方式等报送履行个东说念主信息保护职责的部门。
第二十五条 对个东说念主信息处理者开展个东说念主信息保护影响评估情况进行审计时，应当要点对影响评估开展情况和评估内容进行审查：
（一）是否依照法律、行政礼貌的规定，在进行对个东说念主权益具有要紧影响的个东说念主信息处理看成前通过个东说念主信息保护影响评估；
（二）是否对个东说念主处理看成的正当性、刚直性和必要性进行了分析评估，是否存在过度采集个东说念主信息的情况；
（三）是否对收尾个东说念主自主决定权、激发分离性待遇、导致个东说念主名誉受损或者遇到思想包袱、酿成东说念主身财产受损等安全风险进行了分析评估；
（四）是否对所采纳的保护设施的正当性、灵验性、适合性进行了分析评估；
（五）个东说念主信息保护影响评估敷陈和处理记载是否至少保存三年。
第二十六条 个东说念主信息处理者应当制定个东说念主信息安全事件济急预案。审计时，应当对济急预案的全面性、灵验性、可实践性作出评价，包括但不限于下列内容：
（一）是否集结业求实质，对靠近的个东说念主信息安全风险作出了系统评估和掂量；
（二）指挥念念想、基本策略，组织机构、东说念主员，本事、物质保险及疏导惩处方法、济急和补助设施等是否足以搪塞掂量的风险；
（三）是否对关联东说念主员进行济急预案培训，依期对济急预案进行演练。
第二十七条 对个东说念主信息处理者个东说念主信息安全事件济急反映惩处情况进行评价时，应当要点谈判下列身分：
（一）是否按照济急预案、操作规程实时查明个东说念主信息安全事件的影响、领域和可能酿成的危害，分析、详情事件发生的原因，提议防患危害扩大的设施决策；
（二）是否建立通报渠说念，能否在事件发生后72小时内讲述履行个东说念主信息保护职责的部门和个东说念主；
（三）是否采纳相应设施将个东说念主信息安全事件可能酿成的损构怨可能产生的危害风险裁减到最小。
第二十八条 大型互联网平台运营者应当成立主要由外部成员组成的沉寂机构对个东说念主信息保护情况进行监督。审计时，应当对沉寂机构的沉寂性、履职智力、监督作用等进行评价。
（一）评价沉寂机构对个东说念主信息保护情况进行监督的沉寂性，要点审查外部成员与个东说念主信息处理者偏激主要鼓励是否存在可能妨碍其进行沉寂客不雅判断的关系；
（二）评价外部成员的履职智力，要点审查外部成员是否具备相应的专科学问、智力和训戒，能否对个东说念主信息处理者的个东说念主信息保护情况进行监督、指挥，发表客不雅公正的观念建议；
（三）评价沉寂机构的监督作用，要点审查沉寂机构在个东说念主信息处理者合规轨制体系设立、平台规定制定、要紧个东说念主信息安全事件惩处、督促企业履行社会背负等方面进展的作用。
第二十九条 针对大型互联网平台规定，应当要点审计下列事项：
（一）评价平台规定的正当合规性，是否存在与法律、行政礼貌相抗击的情况；
（二）评价平台规定的公正公正性，是否存在坏心竞争、影响耗尽者权益等违背公正竞争原则、憨厚信用原则、公序良俗的内容；
（三）评价平台规定个东说念主信息保护条件的灵验性，是否合理界定了平台、平台内家具或者作事提供者的个东说念主信息保护权益和义务，是否对平台内筹划者处理个东说念主信息步履进行范例，平台内筹划者的个东说念主信息保护义务是否明确；
（四）检讨平台规定的实践情况，通过抽样等方式考据平台规定是否被灵验实践。
第三十条 大型互联网平台运营者应当对其平台内家具或者作事提供者的个东说念主信息处理看成进行监督。审计时，应当要点审查下列事项：
（一）是否依期审核平台内家具或者作事提供者个东说念主信息处理规定的正当性、合感性；
（二）是否依期对平台内家具或者作事提供者处理个东说念主信息盲从法律、行政礼貌情况进行审核；
（三）对于严重违背法律、行政礼貌处理个东说念主信息的家具或者作事提供者，平台是否实时罢手向其提供作事。
第三十一条 大型互联网平台运营者应当每年发布个东说念主信息保护社会背负敷陈。审计时，应当要点审查社会背负敷陈下列内容的裸露情况：
（一）个东说念主信息保护组织架构和里面管束情况；
（二）个东说念主信息保护智力设立情况；
（三）个东说念主信息保护设施和成效；
（四）个东说念主期骗权益的央求受理情况；
（五）沉寂监督机构履职情况；
（六）要紧个东说念主信息安全事件处理情况；
（七）法律、行政礼貌规定的其他情况第四色小说网。