2月14日，国家网信办发布《个人信息保护合规审计管理办法》，明确2025年5月1日正式施行。很多网友和企业都有疑问：这个办法到底管什么？PIA和PIPCA有什么区别？企业要做什么？普通人的权益怎么保障？

今天就用“问答”的形式，一次性解答大家最关心的问题，用通俗的语言讲清个人信息保护合规的核心要点。

Q1：《个人信息保护合规审计管理办法》核心作用是什么？

A：简单说，就是给企业的“个人信息处理合规审计”定规矩。明确企业什么时候要做、怎么做、谁来做，以及违规的后果，帮助企业提升合规水平，最终保护我们的个人信息权益。

Q2：PIA和PIPCA经常被提到，两者到底是什么？有啥区别？

A：两者都是个人信息保护的重要工具，核心差异在于“目标和时机”：

PIA（个人信息保护影响评估）：重点是“事前防风险”。企业在处理高风险个人信息（比如敏感信息、自动化决策、向境外提供信息等）前，评估行为的合法性和风险，提前优化流程。

PIPCA（个人信息保护合规审计）：重点是“事后验合规”。要么定期检查企业的合规情况，要么在发生风险/安全事件后专项检查，发现违规行为并督促整改。

Q3：哪些情况必须做PIA？不做会有什么后果？

A：根据《个人信息保护法》第五十五条，以下5种情况必须做PIA：

1. 处理敏感个人信息（身份证号、手机号、健康信息、未成年人信息等）；

2. 利用个人信息做自动化决策（比如平台自动推荐商品、给用户评分）；

3. 委托别人处理个人信息、向其他企业提供个人信息、公开个人信息；

4. 向境外提供个人信息；

5. 其他对个人权益有重大影响的处理行为。

后果：未做PIA或PIA不合规，企业可能面临最高5000万元或年营业额5%的罚款，直接负责人也会被追责。

Q4：PIPCA的开展频次有要求吗？谁来做？

A：有明确要求，分两种情况：

1. 自行审计：处理超过1000万人个人信息的企业，每两年至少做一次；其他企业根据自身情况定频次；

2. 监管要求审计：如果企业被发现有重大风险，或发生100万人以上信息泄露、10万人以上敏感信息泄露等事件，监管会要求企业委托专业机构做专项审计。

实施主体：自行审计可内部做或委托专业机构；监管要求的审计必须委托独立专业机构，不能转包。

Q5：这两个工具和普通人有什么关系？

A：直接关系到我们的信息安全！比如：

1. 企业收集我们的健康信息前，必须做PIA，评估泄露风险，这能提前避免我们的信息被滥用；

2. 如果企业过度收集我们的信息、不响应我们的删除请求，PIPCA会发现这些违规行为，督促企业整改，帮我们维护权益。

Q6：企业没按要求做，会有什么后果？

A：后果很严重，包括：

1. 责令整改、警告、没收违法所得；

2. 罚款：企业最高可罚5000万元或年营业额5%，直接负责人罚10万-100万元；

3. 情节严重的，暂停相关业务、停业整顿、吊销营业执照；

4. 构成犯罪的，追究刑事责任（企业和相关责任人都可能被追责）。

CCRC-PIPP个人信息保护专业人员，CCRC-PIPCA个人信息保护合规审计人员，CCRC-PIPA个人信息保护评估师认证,青蓝智慧马老师:135 - 2173 - 0416 / 133 - 9150 – 9126

总结：《个人信息保护合规审计管理办法》的施行，让企业的合规要求更明确，也让我们的个人信息权益更有保障。如果发现企业有违规处理信息的行为，大家可以向网信部门举报，共同守护信息安全！