维度

合规审计重点共计（112项+）

一

合法性基础审查：4项
1. 是否取得充分知情、自愿明确的个人同意；
2. 变更处理目的/方式/种类时是否重新取得同意；
3. 是否取得单独或书面同意；
4. 未取得同意时是否符合法定例外情形。

二

处理规则审查：5项

1. 是否真实、准确、完整告知处理者信息；
2. 是否以清单形式列明收集信息及处理方式；
3. 处理方式是否对个人权益影响最小；
4. 是否明确保存期限及到期处理方式；
5. 是否明确个人行权途径。

三

告知义务审查：6项

1. 是否以显著方式清晰告知处理规则；
2. 告知文本是否便于阅读；
3. 线下告知是否多途径履行；
4. 在线告知是否提供文本或适当方式；
5. 规则变更是否及时告知；
6. 是否符合免告知例外情形。

四

共同处理审查：4项

1. 是否约定权利义务；
2. 是否建立权益保护机制；
3. 是否建立安全事件报告机制；
4. 是否约定其他法定权利义务。

五

委托处理审查：3项

1. 是否开展影响评估；
2. 合同是否约定目的、期限、方式等；
3. 是否监督受托方处理活动。

六

转移个人信息审查：1项

因合并、重组、分立等原因转移个人信息时，是否告知接收方信息。

七

对外提供个人信息审查：3项

1. 是否取得单独同意；
2. 是否履行必要的告知义务，包括告知接收方的名称或者姓名、联系方式、处理目的、处理方式和个人信息的种类；
3. 是否事前进行影响评估。

八

自动化决策审查：7项

1. 决策透明性及结果公平性；
2. 是否告知决策影响；
3. 是否进行影响评估；
4. 是否提供拒绝机制及说明等权利保障；
5. 是否提供非个性化选项；
6. 是否防止不合理差别待遇；

7.其他可能影响自动化决策的透明度和结果公平、公正的事项。

九

公开信息审查：2项

1. 是否取得单独同意且无强迫；
2. 是否进行影响评估。

十

公共场所设备审查：3项

1. 是否出于公共安全必需，是否处于商业目的；
2. 是否设置显著标识；
3. 非公共用途是否取得单独同意。

十一

已公开信息处理审查：5项

1.是否避免发送无关商业信息；

2. 网络暴力或虚假谣言等侵害网络信息内容安全行为；

3. 违规处理个人明确拒绝的已公开的个人信息；

4. 对个人权益有重大影响，未取得个人同意

超范围处理等违法违规行为。

十二

敏感个人信息审查：7项

1. 是否取得单独同意（含未成年人监护人同意）；
2. 处理目的/方式是否合法必要；
3. 是否进行影响评估；
4. 是否履行额外的处理敏感个人信息的必要性以及对个人权益的影响的告知义务

6. 是否遵守书面同意规则

7. 是否遵守法定限制。

十三

未成年人信息审查：3项

1. 是否制定专门规则；
2. 是否履行告知义务；
3. 是否强制同意非必要信息。

十四

跨境提供审查：5项

1. 关键设施运营者是否通过安全评估；
2. 其他处理者【关键信息基础设施运营者以外的数据处理者自当年1月1日起累计向境外提供100万人以上个人信息（不含敏感个人信息）或者1万人以上敏感个人信息】是否国家网信部门组织的安全评估；
3. 其他处理者【关键信息基础设施运营者以外的数据处理者自当年1月1日起累计向境外提供10万人以上、不满100万人个人信息（不含敏感个人信息）或者不满1万人敏感个人信息的】是否认证或经主管机关备案；
4. 向外国司法或者执法机构提供存储于中华人民共和国境内个人信息情形的，是否经过主管机关批准；

5. 避免向受限方提供。

十五

删除权保障审查：6项

是否在目的达成、停止提供产品或注销账号、期限届满、撤回同意等情形下删除或停止处理。

十六

个人信息主体行权保障审查：3项

1. 是否建立便捷行权机制；
2. 是否及时响应申请；
3. 拒绝请求时是否说明理由。

十七

个人信息处理规则解释审查：2项
1. 是否提供便捷解释途径；
2. 是否在合理时间内通俗解释。

十八

内部制度及操作规程审查：11项

方针、架构、分类、应急机制、影响评估制度、投诉流程、权限管理、培训计划等是否符合规定。

1.个人信息保护工作的方针、目标、原则是否符合法律、行政法规规定；

2.个人信息保护组织架构、人员配备、行为规范、管理责任是否与应当履行的个人信息保护责任相适应；

3.是否根据个人信息的种类、来源、敏感程度、用途等，对个人信息进行分类；

4.是否建立个人信息安全事件应急响应机制；

5.是否建立个人信息保护影响评估制度、合规审计制度；

6.是否建立畅通的个人信息保护投诉举报受理流程；

7.是否合理制定个人信息处理操作权限；

8.是否制定实施个人信息保护安全教育和培训计划；

9.是否建立个人信息保护负责人及相关人员履职评价制度；

10.是否建立个人信息违法处理责任制度；

11.法律、行政法规规定的其他事项。

十九

技术措施审查：3项

是否采取加密、去标识化等措施保障保密性、完整性、可用性。

二十

教育培训审查：2项

培训计划内容、对象、频率是否满足保护需求，是否进行考核。

二十一

负责人履职审查：5项

负责人资质、职责权限、纠正措施、联系方式公开等是否符合要求。

二十二

影响评估审查：4项

是否在重大处理前评估合法性、必要性、对权益的影响和安全风险及保护措施有效性。

二十三

应急预案审查：3项

预案是否全面、有效、可执行，是否定期演练。

二十四

应急响应审查：3项

是否及时查明事件原因、通报保护部门、降低危害风险。

二十五

平台规则审查((重要互联网平台服务、用户数量巨大、业务类型复杂的个人信息处理者)：3项

1. 条款的合法性，是否与法律抵触；
2. 条款的有效性，是否合理界定权利义务；
3. 条款的执行，是否有效执行。

二十六

社会责任报告审查(重要互联网平台服务、用户数量巨大、业务类型复杂的个人信息处理者)：8项

是否披露组织架构、能力建设、措施成效、行权受理、重大事件处理等法定内容。