个人信息保护合规自查方案

个人信息保护合规自查方案一、总则1.1目的与适用范围个人信息处理活动的合规风险不在于是否存在制度文件，而在于制度与实际操作之间是否存在偏差。本方案的核心价值在于：以《中华人民共和国个人信息保护法》（以下简称《个保法》）、《中华人民共和国网络安全法》《中华人民共和国数据安全法》及GB/T35273《信息安全技术个人信息安全规范》为依据，通过一套可重复执行的检查动作，把“纸面合规”与“实际合规”之间的差距量化暴露出来，形成整改闭环。适用范围：公司内部所有处理自然人个人信息的部门、业务系统及外包合作方，覆盖个人信息的收集、存储、使用、加工、传输、提供、公开、删除全生命周期。1.2自查频次与组织•全面自查：每半年1次（每年6月、12月），由合规负责人（建议由法务负责人兼任）任组长，成员包括IT运维、人力资源、市场、客服各1名指定接口人，成员名单在自查启动前5个工作日内书面确认。•专项自查：新业务上线前、发生个人信息安全事件后10个工作日内、收到监管部门问询或用户重大投诉后3个工作日内触发，只检查相关业务线。•例会机制：自查期间每周召开1次进度会，会后24小时内下发会议纪要；自查结束后10个工作日内出具《自查报告》报总经理审批。二、自查范围界定2.1个人信息资产盘点自查的第一步不是查制度，而是查“家底”——不知道有哪些数据，后续所有检查都是空转。各部门应在自查启动后10个工作日内填报《个人信息资产登记表》（见附件一），至少包含：字段填写要求数据类别身份证号、手机号、银行卡号、人脸/指纹等生物识别信息、行踪轨迹、健康信息、14周岁以下未成年人信息等存储系统系统名称、数据库/文件路径、云端还是本地数据量级条数（估算约数即可，如“约50万条”）处理目的明确到具体业务场景，禁止填写“营销”“运营”等笼统表述保留期限具体时长或删除触发条件责任人姓名+岗位，不留空其中身份证号、生物识别、行踪轨迹、未成年人信息属于敏感个人信息，单独标注，适用更严格的检查项（单独同意、加密存储、影响评估）。2.2处理场景清单按场景而非按系统梳理，同一系统可能涉及多个合规要求不同的场景。至少覆盖：1.App/网站注册与登录（含第三方SDK嵌入情况）2.营销推送（短信、电话、Push、邮件）3.人事管理（员工简历、考勤、薪酬）4.客服与售后（通话录音、工单）5.监控摄像（办公区、门店）6.对外数据共享（供应商、广告平台、关联公司）三、分项检查内容与判定标准3.1合法性基础检查为什么：《个保法》第十三条要求处理个人信息须具备合法性基础（同意、合同必需、法定义务等），缺失合法性基础的处理活动是最直接、最易被处罚的违规点。怎么做：•逐场景核对合法性基础类型：基于同意的，检查同意是否为明示、自愿、具体——重点核查是否存在“一揽子勾选”“不同意就无法使用基本功能”的情况；判定标准：拒绝个性化推荐后，核心功能必须仍可正常使用，由检查人实际操作验证并截图留证。•基于合同必需或法定义务的，书面说明对应关系，无法说明的按“无合法性基础”登记为重大缺陷。•处理敏感个人信息的，检查是否取得单独同意且进行了事前个人信息保护影响评估（PIA），无PIA报告的登记为重大缺陷。出问题怎么办：无合法性基础的数据，15个工作日内完成删除或补充取得同意；补充同意无法取得的，删除操作须经双人复核并留存操作日志。3.2告知义务检查•隐私政策检查4项硬指标：独立弹窗首次展示、变更后重新征求同意、提供摘要版本、明确列出对外提供情况（接收方名称、目的、方式、数据类型）。隐私政策更新后未重新弹窗的，属一般缺陷，3个工作日内修复。•收集敏感信息、对外提供、公开披露、处理未成年人信息四个场景，逐一核对是否履行了《个保法》第十七条、第二十三条要求的单独告知。•委托处理的，检查是否签订书面协议且协议中包含处理目的、期限、方式、保护措施、双方责任五要素，缺任一要素限期补签。3.3权利响应机制检查怎么做（实际验证，不查文件）：•检查人本人向客服/官方渠道发起查询、更正、删除、撤回同意4类请求各1次，记录实际响应时长与结果。•判定标准：《个保法》第五十条要求提供便捷的行权渠道，行业通行标准为15个工作日内答复；超过15个工作日无响应或渠道根本不存在的，登记为重大缺陷。•撤回同意后，检查对应系统是否实际停止处理（如退订营销短信后15日内实测是否仍收到推送）。出问题怎么办：响应机制缺失的，30日内建立统一受理邮箱（如privacy@）+工单流转机制，指定客服部为第一责任部门。3.4技术与安全措施检查为什么：技术措施是泄露事件发生时的“减责”与“止损”手段，也是监管检查时的第一核查项。怎么做：•存储：敏感个人信息（身份证号、银行卡号、手机号）必须加密存储或脱敏展示；数据库口令强度不低于12位且含大小写字母、数字、特殊字符，90天强制更换。•访问控制：生产环境数据库访问采用最小权限原则；核心系统操作日志留存不少于6个月；离职员工账号于离职当日停用，由IT运维凭人力资源部离职通知单执行并回执。•传输：对外传输含手机号、身份证号的数据必须加密或脱敏，严禁明文通过微信、个人邮箱、U盘传输——替代方案为公司内部加密文件传输平台或经审批的加密压缩包（口令另渠道发送）。违规传输的，按公司数据安全管理制度追责，涉及10万条以上的按《个保法》第六十六条评估是否构成刑事风险并报法务。•App合规：使用“App个人信息收集情况测试工具”类自测方法，检查超范围收集、强制索权、频繁索权（同一权限30秒内弹窗超过2次即视为频繁）三项。3.5对外提供与委托处理检查•检查近12个月内所有对外数据传输记录（导出日志、接口清单），与资产登记表比对，未登记却实际发生的传输按重大缺陷处理。•委托处理协议检查受托方是否留存了超出约定目的的数据、是否转委托（转委托必须事先取得公司书面同意）。•涉及跨境传输的，逐项核对是否满足标准合同备案、安全评估或认证三种路径之一，材料不齐的立即暂停传输并报合规负责人。四、问题分级与整改闭环4.1缺陷分级级别判定标准整改时限责任层级重大无合法性基础处理、敏感信息未单独同意、发生实际泄露、无行权渠道、向无资质方出境立即止损+15个工作日整改总经理一般告知要素缺失、日志留存不足、权限过宽、协议要素不全30个工作日部门负责人轻微文档记录不规范、个别员工培训缺失下一自查周期前接口人4.2整改闭环（PDCA）•计划：自查报告附《整改任务清单》，每条缺陷对应整改措施、责任人、时限、验收标准。•执行：责任部门按清单整改，每10个工作日向合规负责人报送一次进度。•检查：合规负责人组织复核，重大缺陷逐条现场验证，一般缺陷抽查不低于50%。•改进：同一问题连续两个周期重复出现的，上升一级处理并追溯责任人管理责任；每年1月将上年度自查发现的共性问题转化为制度修订或培训内容。五、应急预案与事件处置5.1分级响应级别判定标准启动权限处置原则一级敏感信息或10万条以上信息泄露/外传合规负责人，1小时内报总经理立即阻断泄露途径、72小时内评估是否向监管部门报告、配合取证二级1万~10万条非敏感信息泄露、系统被入侵但未确认数据外流IT运维负责人+合规负责人24小时内完成影响范围排查，封禁相关账号与接口三级1万条以下、影响可控的误操作部门负责人48小时内完成回收、删除、当事人告知5.2报告与告知义务•事件可能造成危害的，按《个保法》第五十七条向履行个人信息保护职责的部门报告，报告内容包括事件原因、涉及信息类型与数量、已采取的补救措施、联系方式；对受影响个人采取电话或站内信等方式告知补救措施。•判断是否构成向公安机关报案义务（涉及《中华人民共和国刑法》第二百五十三条之一），由法务在72小时内出具书面意见，不得以“内部消化”替代法定报告。六、培训与责任落实•培训矩阵：全体员工每年至少1次合规培训（不少于1学时）；处理敏感信息的岗位（HR、客服、IT运维、市场）每半年1次（不少于2学时）；新员工入职30日内完成培训并通过测试（80分合格，不合格7日内补考）。•全员签署《个人信息保密承诺书》，未签署人员不得开通含个人信息的系统权限。•各部门接口人为本部门自查第一责任人，填报数据失实的，按公司绩效考核制度扣减当季度合规评分。附件一：个人信息资产登记表（样表）序号数据类别是否敏感存储系统数据量级（估算）处理目的保留期限合法性基础责任人1手机号否CRM系统（本地）约30万条订单履约通知合同终止后3年删除履行合同必需王某某2身份证号是人事系统（云端）约800条社保公积金办理离职后5年（按法定保存期限）履行法定义务李某某3人脸信息是考勤设备约300条员工考勤识别离职当日删除单独同意李某某附件二：自查检查表（执行版摘要）序号检查项检查方法合格判据结果（合格/缺陷及级别）1隐私政策独立弹窗展示实机操作首次安装流程首次启动主动弹出且默认不勾选同意2拒绝个性化推荐后核心功能可用实机关闭推荐并操作App核心功能正常，无强制退出3敏感信息单独同意查阅同意流程截图与日志存在独立同意页且留有记录4行权渠道响应时效检查人实测发起查询请求15个工作日内答复5敏感字段加密存储IT运维出示数据库字段设计加密或脱敏，无明文6操作日志留存时长抽查3个核心系统留存不少于6个月7对外传输审批与登记比对导出日志与登记表无未登记传输8委托处理协议要素抽查5份协议五要素齐全9离职账号当日停用比对离职名单与账号停用记录差异为0或有当日审批记录10培训