個人資訊保護合規審計管理辦法(徵求意見稿)

為指導、規範個人資訊保護合規審計活動，根據《中華人民共和國個人資訊保護法》等法律法規，國家網路資訊辦公室起草了《個人資訊保護合規審計管理辦法（徵求意見稿）》，現向社會公開徵求意見。公眾可以透過以下途徑和方式提出回饋意見：

1.登入中華人民共和國司法部中國政府法制資訊網（www.moj.gov.cn、www.chinalaw.gov.cn），進入首頁主選單的「立法意見徵集」欄位提出意見。

2.透過電子郵件方式發送至：shujuju@cac.gov.cn。

3.以信函方式將意見寄至：北京市海淀區阜成路15號國家網路資訊辦公室網路資料管理局，郵編100048，並在信封上註明「個人資訊保護合規審計管理辦法徵求意見」。

意見回饋截止時間為2023年9月2日。

附件：個人資訊保護合規審計管理辦法（徵求意見稿）

國家互聯網資訊辦公室

2023年8月3日
個人資訊保護合規審計管理辦法

 

（徵求意見稿）

 

第一條為指導、規範個人資訊保護合規審計活動，提高個人資訊處理活動合規水平，保護個人資訊權益，根據《中華人民共和國個人資訊保護法》等法律、行政法規和國家相關規定，制定本辦法。

第二個個人資訊處理者定期進行個人資訊保護合規審計，或依照履行個人資訊保護職責的部門要求委託專業機構對其個人資訊處理活動進行合規審計，以及對個人資訊保護合規審計活動的監督管理適用本辦法。

第三條本辦法所稱個人資訊保護合規審計，指對個人資訊處理者的個人資訊處理活動是否遵守法律、行政法規的情況進行審查與評估的監督活動。

第四條處理超過100萬人個人資訊的個人資訊處理者，應每年至少進行一次個人資訊保護合規審計；其他個人資訊處理者應每二年至少進行一次個人資訊保護合規審計。

第五條個人資訊處理者自行進行個人資訊保護合規審計，可依實際情況，由本組織內部機構或委託專業機構依本辦法要求進行。

第六條履行個人資訊保護職責的部門在履行職責中，發現個人資訊處理活動有較大風險或發生個人資訊安全事件的，可以要求個人資訊處理者委託專業機構對其個人資訊處理活動進行合規審計。

第七條個人資訊處理者依照履行個人資訊保護職責的部門要求進行個人資訊保護合規審計的，應在收到通知後儘快按照要求選定專業機構進行個人資訊保護合規審計。

第八條個人資訊處理者依照履行個人資訊保護職責的部門要求委託專業機構進行個人資訊保護合規審計的，應當保證專業機構能夠正常行使下列權限：

（一）要求提供或協助查閱相關文件或資料；

（二）進入個人資訊處理活動相關場所；

（三）觀察場所內發生的個人資訊處理活動；

（四）調查相關業務活動及所依賴的資訊系統；

（五）檢查、測試個人資訊處理活動相關設備設施；

（六）調取、查閱個人資訊處理活動相關資料或資訊；

（七）訪談與個人資訊處理活動有關的人員；

（八）就相關問題進行調查、質詢及取證；

（九）其他進行合規審計工作所必需的權限。

第九條個人資訊處理者依照履行個人資訊保護職責部門要求委託專業機構進行個人資訊保護合規審計的，應在90個工作天內完成個人資訊保護合規審計；情況複雜的，報經履行個人資訊保護職責的部門批准後可適當延長。

第十條個人資訊處理者依照履行個人資訊保護職責部門要求委託專業機構進行個人資訊保護合規審計的，應當依本辦法要求組織實施個人資訊保護合規審計，在實施必要合規審計程序後，及時將專業機構所核發的個人資訊保護合規審計報告送交履行個人資訊保護職責的部門。個人資訊保護合規審計報告應由合規審計負責人、專業機構負責人簽署並加蓋專業機構公章。

第十一條個人資訊處理者依照履行個人資訊保護職責的部門要求委託專業機構開展個人資訊保護合規審計的，應當按照專業機構給予的整改建議進行整改，經專業機構複核後將整改情況報送履行個人資訊保護職責的部門。

第十二條執行個人資訊保護合規審計的專業機構應保持獨立性和客觀性，連續為同一審計對象進行個人資訊保護合規審計不得超過三次。

第十三條國家網信部門會同公安機關等國務院相關部門依統籌規劃、合理佈局、擇優推薦的原則建立個人資訊保護合規審計專業機構推薦目錄，每年組織進行個人資訊保護合規審計專業機構評估評價，並根據評估評價情況動態調整個人資訊保護合規審計專業機構推薦目錄。

鼓勵個人資訊處理者優先選擇推薦目錄中的專業機構進行個人資訊保護合規審計活動。

第十四條專業機構在從事個人資訊保護合規審計活動時，應當誠信正直，公正客觀地作出合規審計職業判斷。

專業機構不得轉包委託第三方進行個人資訊保護合規審計。

專業機構在履行個人資訊保護合規審計職責中獲得的信息，只能用於個人資訊保護合規審計的需要，不得用於其他用途；專業機構應對獲得的資訊承擔保密責任；專業機構應採取相應技術措施和其他必要措施，保障資料安全。

專業機構在履行個人資訊保護合規審計職責時不得惡意幹擾個人資訊處理者的正常經營活動。

專業機構有出具虛假、失實報告等違規行為的，個人資訊處理者及相關方可向履行個人資訊保護職責的部門進行投訴，經履行個人資訊保護職責的部門核實的，永久禁止列入個人資訊保護合規審計專業機構推薦目錄。

第十五條違反本辦法規定的，依據《中華人民共和國個人資訊保護法》等法律法規處理；構成犯罪的，依法追究刑事責任。

第十六條本辦法由國家網路資訊辦公室負責解釋，自年月日起施行。

附件：個人資訊保護合規審計參考要點

 

個人資訊保護合規審計參考要點

第一條本要點依據《中華人民共和國個人資訊保護法》等法律、行政法規和國家標準的強制性要求制定，為開展個人資訊保護合規審計提供參考。

第二個個人資訊保護合規審計應先審查個人資訊處理活動的合法性基礎條件，並重點審查下列事項：

（一）處理個人資料是否取得個人同意，該同意是否在個人資訊主體充分知情的前提下自願、明確作出；

（二）基於個人同意處理個人訊息，個人資訊的處理目的、處理方式及處理的個人資訊種類發生變更的，是否重新取得個人同意；

（三）基於個人同意處理個人訊息，是否為個人提供便捷的撤回同意的方式；

（四）基於個人同意處理個人資訊，是否記錄個人同意的操作；

（五）基於個人同意處理個人資訊，是否存在以個人不同意處理其個人資訊或撤回同意為由，拒絕提供產品或服務的情況；處理個人資訊屬於提供產品或服務所必需的除外；

（六）處理個人資料未取得個人同意，是否屬於法律、行政法規規定不需取得個人同意的情形。

第三條對個人資訊處理規則進行審計時，應重點審查下列事項：

（一）是否真實、準確、完整地告知個人資訊處理者的名稱或姓名及聯絡方式；

（二）是否以清單形式列明所收集的個人資料及其處理目的、方式、範圍；

（三）是否明確個人資訊儲存期限或儲存期限的決定方法、到期後的處理方式，以及確保儲存期限為實現處理目的所必要的最短時間；

（四）是否明確個人查閱、複製、加工、轉移、更正、補充、刪除、公開、限制處理個人資訊以及註銷帳號、撤回同意的途徑和方法；

（五）向第三方提供個人資料的，是否明確向個人告知接收方的名稱或姓名、聯絡方式、處理目的、處理方式和個人資料的種類，是否取得個人的單獨同意；

（六）法律、行政法規規定的其他事項。

第四條個人資訊處理者處理個人資訊應履行告知義務，審計時應重點審查下列事項：

（一）個人資訊處理者在處理個人資訊前，是否以顯著方式、清晰易懂的語言真實、準確、完整地向個人告知個人資訊處理規則；

（二）告知文本的大小、字體及顏色是否便於個人完整閱讀告知事項；

（三）線下告知是否以標註、說明等多種方式向個人履行告知義務；

（四）在線告知是否提供文本資訊或透過適當方式向個人履行告知義務；

（五）個人資訊處理規則發生變更的，是否將變更內容及時告知個人。

第五條個人資訊處理者存在與他人共同處理個人資訊情形的，應當重點審查下列事項：

（一）是否約定各自的權利義務；

（二）各方採取的個人資訊保護措施；

（三）個人資訊權益保護機制；

（四）個人資訊安全事件通報機制；

（五）侵害個人資訊權益造成損害的，各方應承擔的責任；

（六）其他法律、行政法規規定需要約定的權利義務。

第六條個人資訊處理者存在委託處理個人資訊情形的，應當重點審查下列事項：

（一）個人資訊處理者在委託處理個人資訊前，是否進行個人資訊保護影響評估；

（二）個人資訊處理者與受託人簽訂的合同，是否約定了委託處理的目的、期限、方式及個人資訊的種類、受託人應採取的技術措施及管理措施、雙方的權利義務等；

（三）個人資訊處理者是否採取定期檢查等方式，對受託人的個人資訊處理活動進行監督，以確保委託處理個人資訊的活動符合法律規定；

（四）受託人是否嚴格依照委託契約的約定處理個人訊息，是否有超出約定的處理目的、處理方式處理個人資訊的情形；

（五）當委託合約不生效、無效、被撤銷或終止時，受託人是否將個人資料退還給個人資訊處理者或刪除；

（六）受託人是否有轉委託他人處理個人資料的情況，是否得到個人資訊處理者的同意。

第七條個人資訊處理者存在因合併、重組、分立、解散、被宣告破產等原因需要轉移個人資訊情形的，應當重點審查下列事項：

（一）個人資訊處理者是否向個人告知接收者的名稱或姓名及聯絡方式；

（二）接收者是否繼續履行個人資訊處理者的義務；

（三）接收方變更原先處理目的、處理方式的，是否依法律、行政法規有關規定重新取得個人同意。

第八條個人資訊處理者存在向其他個人資訊處理者提供其處理的個人資訊的，應當重點審查下列事項：

（一）是否取得個人的單獨同意；

（二）是否向個人告知接收者的名稱或姓名、聯絡方式、處理目的、處理方式及個人資訊的種類；

（三）接收方是否在雙方約定的處理目的、處理方式及個人資訊的種類等範圍內處理個人資訊；

（四）變更處理目的、處理方式的，是否依法律、行政法規規定重新取得個人同意；

（五）是否事前進行個人資訊保護影響評估。

第九條個人資訊處理者利用自動化決策處理個人資訊的，審計時應重點評估自動化決策的透明度和結果的公平性、公正性：

（一）是否事前主動告知個人自動化決策處理個人資訊的種類及可能帶來的影響；

（二）是否事前對演算法模型進行安全評估，並依國家相關規定進行備案，以盡可能減少自動化決策演算法模型存在的缺陷，當應用場景和主要功能發生變化時，是否對演算法模型重新進行評估；

（三）是否事前對演算法模型進行科技倫理審查；

（四）是否事前進行個人資訊保護影響評估；

（五）是否提供使用者保障機制，以便使用者可以透過便利方式拒絕透過自動化決策方式作出對個人權益有重大影響的決定，或要求個人資訊處理者就應用自動化決策方式作出對使用者個人權益有重大影響的決定予以說明；

（六）是否提供使用者刪除或修改用於自動化決策服務的針對其個人特徵的使用者標籤功能；

（七）是否採取必要措施對演算法和參數模型進行保護；

（八）是否對個人資訊處理、標籤管理、模型訓練等自動化決策過程中的人工操作進行記錄，防範人為惡意操縱自動化決策資訊與結果；

（九）向個人進行資訊推播、商業行銷時，是否同時提供不針對個人特徵的選項，或提供便利的拒絕自動化決策服務的方式；

（十）是否採取了有效措施，防止自動化決策根據消費者的偏好、交易習慣等對個人在交易條件上實行不合理的差別待遇；

（十一）其他可能影響自動化決策的透明度和結果公平、公正的事項。

第十條個人資訊處理者存在公開其處理的個人資訊情形的，應當重點審查下列事項：

（一）個人資訊處理者公開其處理的個人資訊前是否取得個人單獨同意，該授權是否真實、有效，是否存在違背個人意願將個人資訊予以公開的情況；

（二）個人資訊處理者公開個人資訊前，是否進行了個人資訊保護影響評估。

第十一條個人資訊處理者在公共場所安裝影像擷取、個人識別設備的，應當重點對其安裝影像擷取、個人資訊識別設備的合法性及所收集個人資訊的用途進行審查。審查內容包括但不限於：

（一）是否為維護公共安全所必需，是否存在為商業目的處理所採集資訊的情況；

（二）是否設定了顯著的提示標誌；

（三）若個人資訊處理者所收集的個人影像、身分識別資料用於維護公共安全以外用途的，是否取得個人單獨同意。

第十二條個人資訊處理者處理已公開個人資訊的，審計時應重點審查個人資訊處理者是否有下列違規行為：

（一）向已公開個人資料中的電子郵件信箱、手機號碼等發送與其公開目的無關的資訊；

（二）利用已公開的個人資訊從事網路暴力活動；

（三）處理個人明確拒絕處理的已公開個人資訊；

（四）未取得個人同意處理已公開的個人資訊對個人權益造成重大影響。

第十三條個人資訊處理者處理敏感個人資訊的，審計時應重點審查下列事項：

（一）處理生物辨識、宗教信仰、特定身分、醫療健康、金融帳戶、行蹤軌跡等敏感個人資訊的，是否事前取得個人的單獨同意；

（二）處理不滿十四歲未成年人的個人資料，是否事前取得未成年人的父母或其他監護人的同意；

（三）處理敏感個人資訊的目的、方式是否合法、正當、必要；

（四）敏感個人資訊處理是否與提供商品或服務、履行法定職責或法定義務等特定的目的密切相關，是否以非必要不處理為原則；

（五）是否在事前進行個人資訊保護影響評估，並向個人告知處理敏感個人資訊的必要性及對個人權益的影響；

（六）法律、行政法規規定應取得書面同意的，是否取得書面同意；

（七）是否對處理敏感個人資訊的過程進行了記錄，以保障處理敏感個人資訊流程合法合規。

第十四條個人資訊處理者業務涉及處理不滿十四歲未成年人個人資訊的，審計時應重點審查下列事項：

（一）是否制定專門的未成年人個人資訊處理規則；

（二）是否向未成年人及其監護人告知未成年人個人資料的處理目的、處理方式、處理必要性及處理個人資料的種類、所採取的保護措施等；

（三）是否有強制要求未成年人或其監護人同意非必要的個人資訊處理的行為。

第十五條個人資訊處理者存在向境外提供個人資訊情形的，應當重點審查下列事項：

（一）關鍵資訊基礎設施業者及處理100萬人以上個人資訊的個人資訊處理者提供境外個人資訊是否經過國家網信部門組織的安全評估；

（二）自上年1月1日起累計提供境外10萬人個人資料或1萬人敏感個人資料的個人資料處理者提供個人資料是否經過國家網信部門組織的安全評估；

（三）是否有向外國司法或執法機關提供儲存於中華人民共和國境內的個人資訊的情形，若有，是否經過中華人民共和國主管機關核准；

（四）中華人民共和國締結或參加的國際條約、協定對向中華人民共和國境外提供個人資訊的條件等有規定的，是否依其規定執行；

（五）是否依照國家網信部門的規定，經專業機構進行個人資訊保護認證或依照國家網信部門制定的標準合約與境外接收方簽訂合同，或符合法律、行政法規、國家網信部門規定的其他條件；

（六）是否了解境外接收者所在國家或地區的個人資訊保護政策和網路安全環境對出境個人資訊的影響；

（七）是否有違規向被列入限製或禁止個人資訊提供清單的組織和個人提供個人資訊的情形。

第十六條個人資訊處理者向境外提供個人資訊，應採取必要措施，保障境外接收方處理個人資訊的活動達到《中華人民共和國個人資訊保護法》規定的個人資訊保護標準。審計時應重點檢視個人資訊處理者對境外接收者採取監督措施的有效性，包括但不限於：

（一）是否了解並掌握境外接收者的情況，特別是接收者是否具備必要的個人資訊保護能力；

（二）是否向境外接收方告知我國法律、行政法規對個人資訊保護的要求，並要求境外接收方採取相應的保護措施；

（三）是否採取簽訂協議、定期核查等方式，督促境外接收方切實履行個人資訊保護義務。

第十七條對個人資料刪除權保障情況進行審計時，應重點審查下列情形個人資料刪除的情況：

（一）個人資訊處理目的已實現、無法實現或為實現處理目的不再必要；

（二）停止提供產品或服務，或個人註銷帳號；

（三）達到與個人約定的儲存期限；

（四）個人撤回同意；

（五）因使用自動化採集技術等，無法避免採集到非必要個人資訊或未經同意的個人資訊；

（六）個人資訊處理者違反法律、行政法規或違反約定處理個人資訊。

法律、行政法規規定的保存期限未屆滿，或刪除個人資訊從技術上難以實現的，個人資訊處理者應停止除儲存和採取必要的安全措施之外的處理。

第十八條個人資訊處理者應保障個人行使個人資訊權益的權利，審計時應重點審查下列事項：

（一）是否建立個人行使權利的申請受理機制；

（二）是否提供個人便捷的查閱、複製、轉移、更正、補充、刪除個人資料的方法；

（三）是否及時回應個人行使權利的申請，是否及時、完整、準確告知處理意見或執行結果。

第十九條個人資訊處理者應回應個人申請，對其個人資訊處理規則進行解釋說明，審計時應重點對下列內容進行評估：

（一）個人資訊處理者是否提供便捷的方式和途徑，接受、處理個人關於個人資訊處理規則解釋說明的要求；

（二）接到個人的要求後，個人資訊處理者是否在合理的時間內，使用簡單易懂的語言對其個人資訊處理規則作出解釋說明。

第二十條個人資訊處理者對個人資訊保護負主體責任，審計時應重點對個人資訊處理者履行主體責任情況進行評價，包括但不限於下列事項：

（一）個人資訊保護制度製定、組織架構、管理程序與處理個人資訊的性質、規模、複雜程度、風險程度的適應性；

（二）個人資訊保護職責分工是否合理、職責是否明確、報告關係是否清晰；

（三）個人資訊處理者為個人資訊保護提供的人、財、物保障與企業業務規模、營運計畫、個人資訊合規風險管理的匹配性。

第二十一條個人資訊處理者應依照法律、行政法規的規定制定內部管理制度及操作規程，明確組織架構、職務職責，建立工作流程、完善內部控制度，保障個人資訊處理合規與安全。審計時，應重點對個人資訊處理者個人資訊保護內部管理制度和操作規程進行審查，包括但不限於：

（一）個人資訊保護工作的方針、目標、原則是否符合法律、行政法規規定；

（二）個人資訊保護組織架構、人員配置、行為規範、管理責任是否與應履行的個人資訊保護責任相適應；

（三）是否依個人資料的種類、來源、敏感程度、用途等，對個人資料進行分類，並採取有針對性的管理或安全技術措施；

（四）是否建立個人資訊安全事件緊急應變機制；

（五）是否建立個人資訊保護影響評估、合規審計制度；

（六）是否建立暢通的個人資訊保護申訴檢舉受理流程；

（七）是否制定實施個人資訊保護安全教育及訓練計畫；

（八）是否建立個人資訊保護負責人及相關人員履職評鑑制度；

（九）是否建立針對個人資訊處理相關人員的個人資訊違規處置或違規行為責任制度，並有效執行；

（十）法律、行政法規規定的其他內容。

第二十二條個人資訊處理者應採取與所處理個人資訊規模、類型相適應的安全技術措施，並對個人資訊處理者採取的技術措施的有效性進行評價，評價內容包括但不限於：

（一）是否參照相關國家標準或技術要求，採取相應安全技術措施以實現個人資訊的保密性、完整性、可用性；

（二）是否採取加密、去識別化等安全技術措施，確保在不借助額外資訊的情況下，消除或降低個人資訊的可識別性；

（三）採取的安全技術措施能否合理確定有關人員查閱、複製、傳輸等個人資訊的操作權限，減少個人資訊在處理過程中未經授權的存取和濫用風險。

第二十三條針對個人資訊處理者教育訓練計畫的製定及實施進行審計時，應當重點對下列事項進行評估：

（一）是否按計畫對管理人員、技術人員、操作人員、全員進行相應的安全教育和培訓，是否對相應人員的個人資訊保護意識和技能進行考核；

（二）培訓內容、訓練方式、訓練對象、訓練頻率等能否滿足個人資訊保護需求。

第二十四條處理個人資訊達到國家網信部門規定數量的個人資訊處理者應指定個人資訊保護負責人，對個人資訊處理活動的合規性負責。審計時，應重點審查下列事項：

（一）個人資訊保護負責人是否有相關的工作經驗及專業知識，熟悉個人資訊保護相關法律、行政法規；

（二）個人資訊保護負責人是否具有明確、清楚的職責，是否被賦予充分的權限協調組織內個人資訊處理相關部門與人員；

（三）個人資訊保護負責人是否有權提名個人資訊保護團隊負責人，並與其保持順暢的溝通與聯繫；

（四）個人資訊保護負責人在個人資訊處理重大事項決策前是否有權提出相關意見與建議；

（五）個人資訊保護負責人是否有權對組織內部個人資訊處理的不合規操作進行製止和採取必要的糾正措施；

（六）個人資訊處理者是否公開個人資訊保護負責人的聯絡方式，並將個人資訊保護負責人的姓名、聯絡方式等報送履行個人資訊保護職責的部門。

第二十五條對個人資訊處理者進行個人資訊保護影響評估情境進行稽核時，應當重點審查影響評估進行狀況及評估內容：

（一）是否依照法律、行政法規的規定，在進行對個人權益有重大影響的個人資訊處理活動前透過個人資訊保護影響評估；

（二）是否對個人處理活動的合法性、正當性和必要性進行了分析評估，是否有過度蒐集個人資料的情況；

（三）是否對限制個人自主決定權、引發差別待遇、導致個人名譽受損或遭受精神壓力、造成人身財產受損等安全風險進行了分析評估；

（四）是否對所採取的保護措施的合法性、有效性、適應性進行了分析評估；

（五）個人資訊保護影響評估報告及處理紀錄是否至少保存三年。

第二十六條個人資訊處理者應制定個人資訊安全事件緊急應變計畫。審計時，應對緊急應變計畫的全面性、有效性、可執行性作出評價，包括但不限於下列內容：

（一）是否結合業務實際，對面臨的個人資訊安全風險作出了系統評估與預測；

（二）指導思想、基本策略，組織機構、人員，技術、物資保障及指揮處置程序、緊急應變及支援措施等是否足以因應預測的風險；

（三）是否對相關人員進行緊急應變計畫培訓，並定期對緊急應變計畫進行演練。

第二十七條評估個人資訊處理者個人資訊安全事件緊急應變處置時，應當重點考慮下列因素：

（一）是否依照緊急應變計畫、操作規程及時查明個人資訊安全事件的影響、範圍及可能造成的危害，分析、確定事件發生的原因，提出防止危害擴大的措施方案；

（二）是否建立通報管道，能否在事件發生後72小時內通知履行個人資訊保護職責的部門及個人；

（三）是否採取相應措施將個人資訊安全事件可能造成的損失和可能產生的危害風險降低到最小。

第二十八條大型網路平台業者應成立主要由外部成員組成的獨立機構對個人資訊保護情況進行監督。審計時，應評估獨立機構的獨立性、履職能力、監督角色。

（一）評估獨立機構對個人資訊保護情況進行監督的獨立性，重點審查外部成員與個人資訊處理者及其主要股東是否存在可能妨礙其進行獨立客觀判斷的關係；

（二）評估外部成員的履職能力，重點審查外部成員是否具備相應的專業知識、能力和經驗，能否對個人資訊處理者的個人資訊保護情況進行監督、指導，發表客觀公正的意見建議；

（三）評估獨立機構的監督作用，重點檢視獨立機構在個人資訊處理者合規制度體系建構、平台規則制定、重大個人資訊安全事件處置、督促企業履行社會責任等方面所發揮的作用。

第二十九條針對大型網路平台規則，應重點審計下列事項：

（一）評估平台規則的合法合規性，是否有與法律、行政法規相抵觸的情況；

（二）評估平台規則的公平公正性，是否存在惡意競爭、影響消費者權益等違反公平競爭原則、誠實信用原則、公序良俗的內容；

（三）評估平台規則個人資訊保護條款的有效性，是否合理界定了平台、平台內產品或服務提供者的個人資訊保護權利義務，是否對平台內經營者處理個人資訊行為進行規範，平台內經營者的個人資訊保護義務是否明確；

（四）檢查平台規則的執行情況，透過抽樣等方式驗證平台規則是否有效執行。

第三十條大型網路平台業者應對其平台內產品或服務提供者的個人資訊處理活動進行監督。審計時，應重點審查下列事項：

（一）是否定期審核平台內產品或服務提供者個人資訊處理規則的合法性、合理性；

（二）是否定期對平台內產品或服務提供者處理個人資訊遵守法律、行政法規狀況進行審核；

（三）對於嚴重違反法律、行政法規處理個人資訊的產品或服務提供者，平台是否及時停止向其提供服務。

第三十一條大型網路平台業者應每年發布個人資訊保護社會責任報告。審計時，應重點檢視社會責任報告下列內容的揭露情況：

（一）個人資訊保護組織架構及內部管理情形；

（二）個人資訊保護能力建構情形；

（三）個人資訊保護措施及成效；

（四）個人行使權利的申請受理情形；

（五）獨立監督機構履職狀況；

（六）重大個人資訊安全事件處理情形；

（七）法律、行政法規規定的其他情況。