【合规与社会责任】个人信息保护合规专项审计计划

审计计划书审计项目名称：个人信息保护合规专项审计编制人：审计部XXX编制日期：XXXX年XX月XX日项目编号：SA-2026-032一、审计目标对公司个人信息保护合规体系的设计有效性与运行有效性实施独立审计，具体目标如下：合规体系健全性：评价公司个人信息保护的组织架构、制度流程、职责分工是否建立健全，是否符合《个人信息保护法》《数据安全法》及相关法规要求，能否有效应对外部监管和用户期望。个人信息处理合法性基础：审查收集、使用、存储、共享等个人信息处理活动是否具备明确、合法的处理基础（如同意、合同必需、法定义务等），有无超范围、未获授权的处理。告知同意机制有效性：验证隐私政策/告知文本是否完整、清晰、易懂，是否在收集前获得用户明示或默示同意，用户撤销同意的渠道是否便捷有效。个人信息全生命周期管控：检查从收集、存储、使用、加工、传输、提供、公开到删除/匿名化的全流程中，各项控制措施是否设计合理并有效执行，能否防止未经授权的访问、泄露、篡改和丢失。数据主体权利保障：评估对用户行使查询、更正、删除、撤回同意、注销账户、携带权等权利的响应流程是否畅通、时效是否合规，有无设置不合理的门槛或拒绝履行。第三方与数据跨境管理：审查委托处理、向第三方提供、数据跨境传输等场景下的安全评估、合同签订和持续监督是否到位，有无违规传输或监管未备案。安全事件应急与报告：检查个人信息安全事件的监测、记录、应急响应和向监管部门/个人通知的机制是否建立并经过验证。审计与持续改进：评估个人信息保护影响评估（PIA）是否在法定义务场景中执行，内部审计和自查是否定期开展，发现问题是否闭环整改。最终对个人信息保护合规的整体水平作出评价，揭示重大合规差距和潜在的法律责任、声誉损失风险。二、审计范围范围类型具体界定时间范围审计期间为XXXX年X月X日至XXXX年X月X日（最近一个完整会计年度及截至审计日），重大隐私事件、未完成的PIA、未解决的用户权利请求可追溯至以前年度并延伸至审计日。组织范围数据保护官（DPO）/隐私保护团队、法务与合规部、IT与信息安全部、市场与产品运营部门（涉及用户触达与数据收集）、人力资源部（涉及员工个人信息）、客户服务部（涉及用户权利请求）、采购部（涉及第三方数据处理协议），以及所有涉及处理个人信息的业务部门。业务/系统范围面向用户的APP/网站/小程序、CRM系统、营销自动化平台、客服系统、数据分析平台、HR管理系统、身份认证系统、云存储与日志系统等所有存储和处理个人信息的系统。数据类型范围客户/用户的个人身份信息、联系方式、位置数据、行为轨迹、消费偏好、生物识别信息、健康数据、未成年人信息等；员工的入离职信息、薪酬、考勤、健康、绩效等。审计基准日以最近一个会计期末为基准；系统权限、隐私设置等技术验证穿插在现场审计期执行。三、审计依据《中华人民共和国个人信息保护法》《中华人民共和国数据安全法》《中华人民共和国网络安全法》及配套法规、指南、国家标准（如GB/T35273《个人信息安全规范》）。适用域外法规：GDPR（欧盟通用数据保护条例）、CCPA/CPRA（加州消费者隐私法案）等（如公司业务涉及）。公司内部制度：《个人信息保护管理规定》《数据分类分级与保护制度》《隐私政策与告知同意管理规范》《数据主体权利响应程序》《数据安全事件应急响应预案》《第三方数据合作管理规定》《个人信息保护影响评估（PIA）程序》等。经审批的隐私政策、用户授权弹窗、数据处理协议（DPA）、个人信息保护影响评估（PIA）报告。四、审计组构成与时间安排1.审计组成员及分工审计组长：全面负责，审定报告，把控个人信息涉密风险。隐私合规审计员（2名，建议具备法律与IT复合背景，获得CIPP/E、CIPP/A或相关认证优先）：负责制度审阅、告知同意机制测试、全生命周期管控测试、数据主体权利响应测试、PIA审阅、访谈。IT审计员（1名）：负责系统权限与技术配置核查、数据脱敏与加密验证、日志审计、API接口安全检查、技术扫描（如数据库隐私字段加密状态）。财务审计员（辅助）：协助审查个人信息相关采购、第三方数据处理费用，识别数据变相买卖等风险。2.项目时间表（共18个工作日）阶段工作日主要工作内容产出物准备阶段第1-3天下达审计通知及资料清单；获取隐私政策历史版本、个人信息处理台账（RoPA）、PIA报告、DPA协议、数据主体权利请求台账、安全事件台账等；预分析App/网站功能与权限声明的一致性、数据导出日志中的异常等。资料收取清单、个人信息处理风险疑点清单、审计重点确认书现场实施第4-15天逐项测试告知同意、数据收集与使用、存储与销毁、权利请求响应等关键控制；深度核查第三方合作与数据跨境；执行数据库隐私字段加密与脱敏技术验证；审查PIA执行质量；访谈DPO、产品经理、研发、客服、HR等。控制测试底稿、技术验证记录、访谈记录报告阶段第16-18天汇总发现，按风险等级排序；形成审计发现汇总表；起草审计报告征求意见稿；与隐私保护、法务、IT等部门交换意见；修改定稿后上报数据保护委员会/审计委员会。征求意见稿、反馈函、正式审计报告五、风险评估与审计重点个人信息保护已进入强监管时代，违规成本极高，审计组将聚焦以下极高风险领域：违规收集与强制同意风险：App/网站存在“默认勾选”、“一揽子授权”、“频繁索权”、“不授权即退出”等强制用户同意的行为；收集的个人信息超出与业务功能的最小必要范围。隐私政策与实际处理“两张皮”风险：隐私政策文本抄袭模板、晦涩难懂；实际数据收集、使用、共享范围远超隐私政策声明，用户被误导。个人信息滥用与算法歧视风险：在未告知并获得同意的情况下，进行用户画像、自动化决策（如差异化定价）、精准营销，对用户权益产生重大影响。数据泄露与内部越权访问风险：因接口权限失控、数据库弱口令、员工违规导出等原因，导致海量个人数据泄露或在内部被随意查看。数据主体权利请求落实不力风险：用户注销账户、删除个人信息等请求被设置不合理门槛，或响应超时、不彻底；客服部门缺乏处理此类请求的授权和工具。向第三方提供与跨境传输违规风险：未经用户同意向第三方共享个人信息，未与受托方签署SCC/DPA；向境外传输个人信息前未经安全评估或标准合同备案。敏感个人信息保护不足风险：在处理人脸、指纹、位置轨迹、金融账户、健康医疗、未成年人信息等时，未采取更严格的单独同意和保护措施。安全事件迟报瞒报风险：发生数据泄露事件后，为逃避责任未按规定立即采取补救措施并通知用户和监管部门，最终被重罚。六、具体审计程序程序一：个人信息保护治理与制度体系审计组织与职责：访谈DPO或隐私保护负责人，了解其是否具有独立性和必要资源，是否直接向管理层汇报。获取个人信息保护相关的组织架构图，明确各部门（法务、安全、产品、HR等）的职责分工。制度体系审阅：收集《个人信息保护管理规定》及配套流程文件，对标《个保法》各章节要求，评估制度的覆盖率（从收集到删除全生命周期）和颗粒度。个人信息处理台账（RoPA）审阅：获取公司《个人信息处理活动记录》，评价其是否真实、完整地记录了各业务场景下的处理目的、方式、范围、数据字段、保存期限和跨境情况。抽查台账记录的准确性。PIA执行与质量：获取审计期间完成的《个人信息保护影响评估（PIA）报告》。检查是否针对高风险处理场景（如处理敏感个人信息、自动化决策、委托处理、数据出境）强制开展了PIA。审阅报告质量，判断风险评估是否深入，提出的改进措施是否已落地。程序二：告知同意机制的穿透测试隐私政策内容审阅：获取面向不同产品线的《隐私权政策》文本。检查其是否包含：处理目的、方式、信息种类、保存期限、个人权利及行使方式、安全措施、投诉渠道等法定内容。用词是否通俗易懂，无含糊其辞的法律术语堆砌。App/小程序前端授权流程实测：审计组成员下载并注册/使用公司主要APP或访问网站。实测场景：首次启动：是否在收集个人信息前，弹出并展示了隐私政策链接，引导用户阅读。敏感权限调用：使用到相册、通讯录、位置、摄像头等功能时，是否在每次首次调用时弹出独立弹窗，说明了目的并征得了用户的明示同意。是否支持用户选择“仅本次允许”。拒绝授权的后果：尝试拒绝提供非必要信息/权限，验证是否仍能正常使用基本功能服务（不得以拒绝提供与业务功能无关的信息为由，拒绝提供服务）。撤回同意：检查APP设置中是否提供了便捷的“撤回同意”或“关闭授权”的入口，撤回后是否立即停止了对应用户数据的收集。营销推送与自动化决策同意：检查是否设置了独立的“接收营销信息”开关，并默认关闭。是否存在利用用户画像进行“大数据杀熟”等自动化决策行为，是否提供了拒绝的选项。程序三：个人信息全生命周期管理审计数据收集：最小必要原则验证：将APP/网站实际收集的个人信息字段与隐私政策声明、与业务功能实现的必要性进行逐一比对。对收集的“非必要”字段（如身份证号、位置），检查是否有增强的告知和单独同意机制。审查后台数据表，查验是否存在“声明不收集但实际存储”的数据。数据存储与加密：存储加密：在IT支持下，登录数据库服务器，验证存储用户密码、手机号、身份证号、支付信息等敏感字段的数据表，是否进行了强加密（AES-256等）存储。传输加密：使用抓包工具，验证APP与服务器、网页与服务端的通信是否全程使用TLS1.2及以上协议。非生产环境脱敏：登录测试、开发环境的数据库，查验是否仍存有未脱敏的真实用户数据。数据使用与访问控制：内部权限：导出各系统涉及个人信息的权限列表，核实是否遵循“最小授权”。对有权限查看批量用户数据的客服、运营岗位，检查是否在查看时进行了脱敏展示（如手机号中间位掩码）。批量导出监控：检查DLP策略或数据库审计日志，识别对用户数据表的SELECT*、export等批量操作，验证其是否经过审批，有无用于营销或泄露至外部。数据共享与提供：集团内部共享：检查向集团内关联公司共享个人信息是否在隐私政策中明确告知并获同意。对外提供：获取所有向第三方提供个人信息的清单（如广告平台、数据分析服务商），检查合同中的数据处理协议（DPA）条款。确认共享行为在隐私政策中有明确说明。对“出售”个人信息（如CCPA定义）的行为，检查是否提供了“不出售”的选项。数据删除与销毁：用户注销账户：审计组可准备一个测试账号，在APP内发起“注销账户”请求。跟踪整个流程，验证：注销入口是否明显、有无不合理挽留、处理时效（个保法规定15个工作日内）、账户被注销后该用户的所有个人信息是否在承诺期限内被删除或匿名化（通过查询后台数据库验证）。存储期限与自动化清理：检查数据生命周期管理策略，是否对到期的个人信息执行了自动删除脚本，有无长期未清理但已过期的数据。程序四：数据主体权利请求响应审计权利请求台账与响应时效：获取审计期间接到的所有“个人信息权利请求”（查阅、更正、删除、撤回同意、注销等）的台账及处理记录。个案抽样复核：响应时效：计算从收到请求到完成回复的天数，对照15个工作日的法定时限，统计超时率。身份验证过程：检查在处理权利请求时，公司要求用户提供的额外身份验证信息是否超出了必要限度（如为重置密码而要用户上传手持身份证照片）。处理质量：对“查阅个人信息”请求的回复，是否提供了完整、清晰、易于理解的数据副本。对“删除”请求的回复，是否明确告知删除范围和保留例外。对拒绝请求的，是否明确告知理由和投诉途径。程序五：第三方管理与数据跨境传输审计第三方数据合作合规审计：受托处理方清单：获取所有代表公司处理个人信息的受托方（如云服务商、SaaS软件商、呼叫中心外包商）清单。审查双方签署的《数据处理协议》，验证其条款是否满足《个保法》对委托处理的法定要求（明确目的、期限、处理方式、数据安全义务、禁止转委托等）。共同处理者与独立处理者：识别是否存在向第三方“提供”或与第三方“共同处理”个人信息但未获得用户同意、未签署适当协议的情况。检查公司是否对上述第三方进行了定期的数据安全能力评估。数据跨境传输合规审查（如适用）：数据出境场景识别：梳理所有将国内收集的个人信息传输至境外服务器、境外分支机构或授权境外人员远程访问的场景。合规路径验证：检查公司对数据出境是否履行了相应法律义务：是否通过了国家网信部门组织的安全评估（处理100万人以上个人信息，或向境外提供重要数据）？或完成了标准合同的签署与备案工作？或取得了专业机构的个人信息保护认证？。获取相关的审批文件或备案回执。境外接收方管控：审查对境外接收方的约束文件（如SCC），是否明确了数据保护水平不低于中国法律标准，并有审计权。程序六：安全事件监控与应急响应审计安全事件监测日志：了解安全团队或IT运维团队是否对数据异常访问、大量下载等行为设置了告警。查看近期的安全告警记录及处置记录。应急预案审阅：获取《个人信息安全事件应急预案》，检查其是否明确了事件定级标准、内部上报路径、补救措施、通知用户和监管部门的流程及模板。事件复盘与报告：获取审计期间真实发生的数据泄露、误删等事件报告。检查事件的处理时效、根因分析、对用户的告知方式（是否逐一通知或公告）、对监管部门的报告是否在法定时限内（如个保法规定应“立即”采取补救措施并通知）。程序七：关键人员访谈与意识测评访谈DPO/隐私合规负责人：了解当前合规最大的缺口和推进困难，监管部门的关注点和近期要求，对业务部门隐私合规意识的评价。访谈产品经理与研发人员：了解在产品需求评审和开发流程中，隐私合规审查是如何嵌入的（PrivacybyDesign）。在版本迭代中是否发生过为追进度而绕过隐私合规评估的情况。访谈客服与用户运营人员：了解日常处理的用户隐私相关投诉、权利请求的数量和常见类型。询问其是否接受过用户权利请求处理的专项培训，是否有快速响应工具。员工隐私保护意识匿名问卷：向一定数量的员工（特别是研发、产品、运营、客服）发放匿名问卷，测试其对个人数据范围、公司隐私政策、内部举报渠道等的认知。七、审计报告要求报告应聚焦合规差距与用户信任，至少包含：审计概况：审计范围、覆盖的业务线与系统、主要测试方法及总体情况。个人信息保护合规总体评价：从组织治理、用户权利、数据安全、合作方管控、法规对标五个维度进行成熟度画像和综合评级。审计发现与风险评级：按“违规收集/强制索权”、“隐私政策缺陷”、“数据超范围存储/使用”、“安全控制缺失”、“数据主体权利响应失效”、“第三方/数据跨境违规”、“PIA/应急机制缺失”等类别，逐项披露发现。附APP测试截图、数据库明文数据证据、权利请求台账超时记录、跨境未经备案的证据等。风险评级标准：高（明确违反《个保法》条款，可能触发严重行政处罚、大额罚款或诉讼）、中（控制缺失，有较大合规风险）、低（局部瑕疵）。法律责任评估（建议与法务/外部律师共同完成）：对发现的高风险违规项，初步评估适用的法律条款和可能的处罚上限（