关于个人信息保护审计几个重要问题的问答
发文时间:2025-11-11
作者:陈文昊 原舒仪 孙杨 李诗
来源:植德律师事务所
收藏
1388

2025年2月14日晚,国家网信办发布了《个人信息保护合规审计管理办法》(以下简称“个保审计办法”),并自2025年5月1日起施行。个人信息保护合规审计(以下简称“个保审计”)是继数据出境合规之后又一项对于全行业数据处理者来说需要普遍关注的重要数据合规义务。

  个保审计有着很强的实践操作性,因此本文意在结合我们对个保审计法规与相关国标的理解,以及我们在已经协助客户开展的个保审计项目中的实践经验,直接回应企业关心的关于个保审计的重要问题。

  Q1:个保审计是一项新的法律义务吗?

  A:并不是,《个人信息保护法》(以下简称“个保法”)(第54条)与《网络数据安全管理条例》(以下简称“网数条例”)(第27条)已经规定了个人信息处理者/网络数据处理者进行个保审计的义务。个保审计办法是对上述法律法规义务的落地,与此前数据出境落地执行相类似。

  Q2:个保审计的对象是个人信息处理者对“法律、行政法规”的遵守情况,那对“国标”、特别是推荐性国标的遵守情况要不要纳入审计范围?

  A:我们认为对于该问题的回答,应当秉持“实用主义”原则。尽管个保审计办法、个保法、网数条例仅提及了对“法律、法规”的遵守情况进行审计,但实践中数据合规领域不乏推荐性国标被作为法律法规的“实施细则”,进而被监管执法部门直接引用为执法依据的情况。因此我们建议将对这一类国家标准的遵守情况纳入审计范畴。

  需要说明的是,实践中并非所有推荐性国标都会被监管与执法部门作为执法依据,因此哪些国标需要被重点参考,还有赖于审计机构或审计部门的经验。

  Q3:个保审计分为哪些类型?

  A:按照审计发起的原因,分为“自主审计”与“监管审计”。所谓“自主审计”,是指个人信息处理者应当定期对其处理个人信息遵守法律、行政法规的情况进行合规审计,其中,处理超过1000万人个人信息的个人信息处理者,应当每两年至少开展一次个人信息保护合规审计。虽然个保审计办法并未明确要求处理个人信息数量不足1000万人的个人信息处理者开展个保审计,但个保审计办法也并未明确豁免其他个人信息处理者履行个保审计义务。鉴于开展个保审计是《个人信息保护法》规定应由个人信息处理者履行的合规义务,我们仍建议其他个人信息处理者开展个保审计工作。而“监管审计”是指在发生包括三类高风险场景:存在严重侵害个人信息权益风险、可能影响众多个体权益、发生重大数据安全事件时,监管部门要求个人信息处理者开展个保审计。

  关于“监管审计”,需要提醒企业的是,由于该类审计由监管机关发起,特定情形是否属于三类高风险场景,将由监管部门独立做出认定,因此企业应当建立内部合规监控体系,如果发生相关数据安全事件,除了根据法律法规要求启动数据安全事件应急响应机制之外,还要做好启动个保审计的准备。

  Q4:个保审计由谁来做?有完成时限要求吗?

  A:“自主审计”可自行进行,亦可以委托专业机构进行;“监管审计”应委托第三方进行。

  “自主审计”无时限要求,“监管审计”应当在限定时间内完成,但具体时间如何限定没有进一步规定,我们理解监管部门将结合企业处理数据规模、触发“监管审计”的原因来综合确定审计时限。

  Q5:只要处理超过1000万人个人信息,都需要自主做个保审计吗?

  A:个保审计办法规定处理超过1000万人个人信息的个人信息处理者,应当每两年至少开展一次个人信息保护合规审计。适用这条的前提条件不但需要考察处理个人信息的数量,还需要考察处理个人信息的数据法律地位,即是否构成数据处理者。如果以数据处理受托方的身份处理的数据,我们认为不应纳入此处数据统计范围。

  但需要说明的是,参考我们在数据出境项目中的经验,在实践中监管部门可能对“数据处理者”的认定比较宽泛,因此我们建议企业在签署相关数据处理协议或商业合同时,明确双方的数据处理法律关系。

  此外,需要说明的是,如果处理未成年人个人信息,根据《未成年人网络保护条例》的规定,个人信息处理者每年对其处理未成年人个人信息的情况进行合规审计。而对于特定行业(例如金融、医疗行业),还需要关注行业监管部门的特别要求。

  Q6:委托什么类型的专业机构?

  A:相较征求意见稿,个保审计办法没有采取制定“专业机构推荐目录”这一做法,且没有强制要求专业机构通过认证。很多企业纠结委托哪一类机构作为审计专业机构(律师事务所、技术检测专业机构等),我们建议企业可参考个保审计办法附件《个人信息保护合规审计指引》以及国家标准《数据安全技术 个人信息保护合规审计要求(送审稿)》规定的审计项,就不难得出个保审计的审计项主要是考察法律合规问题,部分审计项需要进行技术验证。因此我们推荐由律师事务所作为外部专业机构进行审计,并辅以技术验证或检测。

  Q7:审计团队可以由内部与外部团队组合构成吗?

  A:个保审计办法没有限制该等组合。事实上,通常一家专业机构很难做到全面覆盖法律合规与技术部分的审计,因此实践中可以考虑委托不同专业机构负责不同板块内容,或者委托一家专业机构并由其将部分工作内容分包给其他机构完成,或者由内部与外部团队共同组成审计团队(如外部专业机构提供法律合规审计,内部团队进行技术验证与检测)。

  需要说明的是,无论何种配合方式,都需要遵循个保审计诚信正直、公正客观的原则,并做好审计团队内部工作界面的划分与协调。

  Q8:审计范围需要100%覆盖吗?

  A:我们认为个保审计办法附件《个人信息保护合规审计指引》中所列重点审查事项,在适用的情况下应当全面覆盖。但现实中针对某些事项,可采取抽样的审计方式,例如零售企业旗下可能拥有众多零售店铺,审计团队可采取抽样方式选取特定店铺进行合规审计,并在报告中予以说明。

  Q9:审计结论必须是无保留的“清洁”意见吗?

  A:遵循客观原则,企业实际情况是什么样审计结论就是什么样。个保审计制度设计的初衷就是“以审促改”,审计的目的是帮助企业发现问题,重点是后续的整改环节。

  从个保审计项目工作内容来看,整改并非“自主审计”范围,但属于“监管审计”事项的必要工作范围。在“自主审计”中,企业可请审计团队对整改结果进行进一步的审查,或者在后续审计中进行审查。

  Q10:外部专业审计机构可以协助企业进行整改吗?如果协助企业进行整改,可以后续进一步做审计业务吗?

  A:我们认为是可以的。个保审计办法强调的是专业机构需秉承“诚信正直、公正客观”的原则,但并不意味着参与了整改或者日常服务工作,就有违该等原则。而且同一专业机构发现问题后,更有助于后续协助企业完成整改。整改的最终落地毕竟还需靠企业自身完成,所以专业机构对整改效果的核查或进一步审计,也是对企业合规落地情况的检验。

  Q11:企业内部谁来牵头个保审计项目?

  A:超过100万人的个人信息处理者应当指定个人信息保护负责人,并负责进行个保审计。

  需要说明的是,个保负责人的设置仍可以进一步细化,且设立条件也并非仅仅考察处理个人信息的数量。例如,如果处理儿童个人信息的,应当指定专人负责儿童个人信息保护(《儿童个人信息网络保护规定》第8条)。

  Q12:集团公司可否合并审计?

  A:我们认为存在业务关联,特别是数据交互(如共用系统或数据相互流转)的集团公司是可以的。若非前述情况,将不同集团公司合并审计,恐缺乏合理性和必要性,建议还是分开审计。需要注意在报告中要说明审计范围涵盖哪些主体,特别是这些主体之间的数据处理关系。

  我们认为存在数据交互的集团公司合并审计更能反映数据处理实际情况,更容易发现相关合规问题,但同时毫无疑问也会增加相应的工作量与工作难度。

 Q13:个保审计的审计要点都有哪些?

  A:个保审计参考要点如下:

5bace08218625e9763a1a317daaccaef_7838ae87789a9242ff76ff7cc6731ab1.png

Q14:相较于其他数据合规项目,个保审计项目需要特别注意什么吗?

  A:个保审计是对企业个人信息处理情况的全面盘点,因此工作范围覆盖面非常之广。个保审计是实质性审查,而非形式审查,且个保审计强调程序与流程。相较一般个人信息保护项目,个保审计项目对于审计底稿、审计证据提出了很高的要求,因此在开展个保审计的过程中,企业与专业审计机构应该特别关注相关程序性要求。

  植德数据合规组

  植德数据合规组,目前有5名以上的合伙人重点发展数据合规业务,组员超过20名。植德北京、上海、深圳、武汉、青岛、成都各地办公室共有15名以上合伙人、律师加入深圳数据交易所认证的DEXCO(数据交易合规师)成员;6名以上成员持有工业和信息化部教育与考试中心认证的数据安全管理审计(高级)证书;10名以上合伙人、律师持有其他数据合规相关资质。

  目前,植德数据合规组拥有成熟的数据合规产品体系,覆盖投资端、资产端、交易端到争议解决端,服务对象包括政府监管部门、事业单位、行业协会、央企、国企、民企、外资企业和公益组织,覆盖的行业包括金融、金融科技、互联网、先进制造业、能源、医疗、跨境电商、酒店、零售等行业。具体产品包括境内外IPO数据合规专项服务、企业数据出境安全评估业务、企业个人信息出境标准合同备案业务、拟IPO企业网络安全审查法律服务、App合规法律服务、个人信息审计法律服务、数据产品交易挂牌法律服务、数据资源入表法律服务、数据合规体系建设服务、AIGC算法备案服务、数据争议解决服务、投融资并购数据合规服务、员工个人信息保护法律服务等。

我要补充
0

推荐阅读

宿城:建筑业增值税政策衔接与适用

建筑业具有业务链条长、涉税环节多、税目多样等特点,属于税务处理易发生偏差的行业。增值税法实施后,《财政部 税务总局关于增值税法施行后增值税优惠政策衔接事项的公告》(财政部 税务总局公告2026年第10号)(以下称10号公告)、《财政部 税务总局关于增值税进项税额抵扣等有关事项的公告》(财政部 税务总局公告2026年第13号)(以下称13号公告)等配套政策,对建筑业增值税政策衔接作出明确规定。本文解析政策核心变化,结合建筑业交易特点,对计税方式适用、一项应税交易税率确定、分包款扣除管理及纳税义务发生时间认定等实务环节进行探讨。

一、取消甲供工程简易计税选择权

(一)新政内容。增值税法实施后,建筑服务的定义及9%的适用税率维持不变。依据《财政部 税务总局关于增值税征税具体范围有关事项的公告》(财政部 税务总局公告2026年第9号)附件2《销售服务、无形资产、不动产注释》,建筑服务是指各类建筑物、构筑物及其附属设施的建造、修缮、装饰,线路、管道、设备等的安装以及其他工程作业的业务活动,具体包括工程服务、安装服务、修缮服务、装饰服务和其他建筑服务。此次税制平移的主要变化在于简易计税适用范围的收窄。依据10号公告第三条规定,以清包工方式提供的建筑服务、为建筑工程老项目提供的建筑服务,可以选择适用简易计税方法,按照3%的规定征收率计算缴纳增值税,该项政策执行至2027年12月31日。

(二)废止文件与过渡安排。10号公告第五条第六项明确废止甲供工程可选择简易计税方法等政策,具体涉及财税〔2016〕36号附件2规定的"一般纳税人为甲供工程提供的建筑服务,可以选择适用简易计税方法计税",以及财税〔2017〕58号规定的"建筑工程总承包单位为房屋建筑的地基与基础、主体结构提供工程服务,建设单位自行采购全部或部分钢材、混凝土、砌体材料、预制构件的,适用简易计税方法计税"。10号公告对现有甲供工程给予过渡期安排,明确2026年1月1日前已选择简易计税的甲供工程,可继续按原政策执行至竣工。即自2026年1月1日起,新签订的甲供工程不再适用简易计税,一律按9%税率适用一般计税方法。

(三)政策影响。一是新签甲供工程的税负问题。建筑服务企业需在投标报价中重新评估进项抵扣空间与定价策略,并与建设方协商材料供应方式以优化税务方案。二是清包工模式的比较优势显现。该模式因仍可适用简易计税方法,按照3%的规定征收率计算缴纳增值税,税负确定性高,可能成为合同条款磋商中的考量因素。三是过渡期项目的合规管理。对于2026年前已适用简易计税的甲供项目,政策允许延续至竣工,企业应妥善管理备案资料、确保发票合规,并完善合同中的税务调整条款。

二、重塑建筑服务一项应税交易税率适用规则

增值税法实施后,对于"货物+服务"组合的交易,一方面,13号公告明确按主要业务适用税率,另一方面,10号公告限制简易计税适用范围,整体向标准税率靠拢,以保障增值税抵扣链条的完整性。新政取消了自产货物及外购机器设备与安装服务分别核算的特殊待遇,统一按主要业务适用税率、征收率,安装服务不再单独适用低税率。

(一)适用范围扩大。增值税法第十三条规定,纳税人发生一项应税交易涉及两个以上税率、征收率的,按照应税交易的主要业务适用税率、征收率。增值税法实施条例第十条进一步明确,此类应税交易应当同时符合下列条件:一是包含两个以上涉及不同税率、征收率的业务;二是业务之间具有明显的主附关系。主要业务居于主体地位,体现交易的实质和目的;附属业务是主要业务的必要补充,并以主要业务的发生为前提。与原政策仅将"货物+服务"同时发生视为混合销售不同,增值税法下的同一笔应税交易,无论"货物+货物""服务+服务""服务+无形资产"或"货物+不动产"等组合形式,只要涉及两个及以上税率或征收率且存在明显的主附关系,均属于"一项应税交易涉及两个以上税率、征收率"的情形。

(二)判定标尺变化。原增值税混合销售规则下,以纳税人的"经营主业"确定适用税率,实务中通常以年度销售额中货物或服务销售额占比50%以上作为判断"经营主业"的具体标准。增值税法则将判定标准明确到"一项应税交易",以交易内部的"主附关系"取代年度销售额占比。13号公告第三条列举了一般纳税人应当按照应税交易主要业务适用税率的具体情形:(1)销售软件产品的同时提供的软件安装、维护、培训等服务,适用软件产品的税率;(2)销售活动板房、机器设备、钢结构件等货物的同时提供的安装服务,适用货物的税率;(3)充换电业务中销售电力产品的同时收取的蓄电池更换、定位、维护等服务费,适用电力产品的税率;(4)提供交通工具租赁服务的同时收取的信息技术等服务费,适用租赁服务的税率。13号公告同时明确,纳税人发生的与上述情形类似的应税交易,比照执行。

(三)主要业务判定的具体规则。1.特定货物组合的税率适用:13号公告已将"销售活动板房、机器设备、钢结构件等货物的同时提供的安装服务"明确界定为适用货物的税率。因此,建筑企业销售钢结构、门窗等并附随安装服务的,应适用13%税率。2.一般情形的主附关系判定:与上述已被明确列举的情形不同,建筑服务中其他跨税率组合尚未被13号公告覆盖,应回归增值税法及其实施条例关于"一项应税交易涉及两个以上税率"的一般性规定,即按照主要业务适用税率、征收率。通常,建筑服务在合同价款、资源投入或交易目的上居于主体地位时,适用9%税率;若设计、技术授权等服务在交易目的或价值构成上居于主体地位,则可能适用6%税率。企业需审慎评估税务风险,完备举证资料,必要时寻求税收事先裁定或专项税务意见,避免后续税企争议。

三、收紧差额征税凭证管理

增值税法实施后,仅保留了建筑、不动产等少数行业的"简易+差额"模式的过渡性安排,政策适用期限为2026年1月1日至2027年12月31日。10号公告第四条第四项规定,纳税人提供建筑服务适用简易计税方法计税的,支付的分包款允许从含税销售额中扣除。凭证管理方面,纳税人从含税销售额中扣除的价款,应当取得符合法律、行政法规或者税务总局规定的合法有效凭证留存备查,否则不得扣除。其中,支付给境内单位或者个人的款项,以发票或者省级以上(含省级)财政部门监(印)制的财政票据为合法有效凭证;支付给境外单位或者个人的款项,以该单位或者个人的签收单据为合法有效凭证。此外,纳税人取得的上述凭证属于增值税扣税凭证的,其进项税额不得从销项税额中抵扣。发票开具方面,10号公告第四条第十二项规定,适用第四条第四项规定,从含税销售额中扣除的相关价款,不得开具增值税专用发票,可以开具普通发票。实务中,纳税人可选择两种开票方式:一是使用"差额征税—差额开票"模块开具发票;二是分两张发票开具——差额部分开具增值税专用发票,分包扣除部分开具增值税普通发票。

四、厘清建筑服务预缴与纳税义务发生时间

《财政部 税务总局关于发布〈增值税预缴税款管理办法〉的公告》(财政部 税务总局公告2026年第14号)(以下称14号公告)延续了增值税法实施前的预缴规则。预缴地点:跨地区提供建筑服务的,向建筑服务发生地主管税务机关预缴增值税;采取预收款方式提供建筑服务的,非跨地区项目,向机构所在地主管税务机关预缴增值税;跨地区项目收取预收款的,向建筑服务发生地主管税务机关预缴增值税。预征率与税款计算:适用一般计税方法计税的预征率为2%,适用简易计税方法计税的预征率为3%。预缴期限:跨地区提供建筑服务,应当自纳税义务发生之日起至次月(按季纳税的,为季度结束后的次月)纳税申报期结束前预缴税款;采取预收款方式提供建筑服务,以及跨地区提供建筑服务收取预收款的,应当自收到预收款之日起至次月纳税申报期结束前预缴税款。

纳税义务发生时间方面,增值税法第二十八条规定,发生应税交易,纳税义务发生时间为收讫销售款项或者取得销售款项索取凭据的当日;先开具发票的,为开具发票的当日。13号公告第四条第二项在此基础上,对"先收取价款再分期或者分次提供服务"的特殊情形作出进一步明确:以首次提供服务的实际开始当日与合同约定的当日,按照孰先原则确定纳税义务发生时间,纳税人应当就收到的全部价款申报缴纳增值税。建筑服务实行工程进度结算制,其交易模式与上述"先收款、后分期(次)服务"模式存在本质区别,不应适用该规则。建筑服务的纳税义务发生时间,应按增值税法第二十八条规定,结合工程进度结算节点确定。

综上,企业应准确区分预缴时点与纳税义务发生时点,待纳税义务发生后全额申报销项税额;建立预缴税款台账,按项目逐笔登记预收款、分包款扣除及已预缴税款等信息,避免延迟申报风险。

热点问答:集成电路企业、工业母机企业非货币性资产交换企业所得税新规有何影响?

财政部8月14日消息,财政部等四部门发布《关于集成电路企业、工业母机企业非货币性资产交换企业所得税政策的公告》(财政部 税务总局 国家发展改革委 工业和信息化部公告2026年第23号),自2026年1月1日至2028年12月31日执行。

1.非货币性资产是什么?

公告所称非货币性资产,是指现金、存款、应收账款、应收票据以及准备持有至到期的债券投资等货币性资产以外的资产。公告所称非货币性资产交换,是指企业以非货币性资产交换非货币性资产。

中央财经大学财税学院教授白彦锋表示,公告所称非货币性资产通常包括设备、技术专利、股权、知识产权等资产形式,对于支撑相关产业实现高质量发展至关重要,是企业的核心竞争力依托的"硬核资产"。

2.政策调整的核心内容是什么?

根据公告,集成电路企业、工业母机企业在2026年1月1日至2028年12月31日期间发生非货币性资产交换,按规定确认的非货币性资产交换所得,可在不超过5年期限内分期均匀计入相应年度的应纳税所得额,按现行政策规定计算缴纳企业所得税;企业进行非货币性资产交换所发生的损失,不得分期确认。

白彦锋表示,上述税收优惠有助于通过递延纳税的方式,减轻相关企业符合条件的资产交易所得相关税收负担,鼓励企业进行资产置换、提高资产配置效率。

3.此次政策调整对相关产业有何影响?

白彦锋表示,集成电路、工业母机是我国近年来新质生产力发展的重点领域。上述税收优惠为相关产业提供稳定的企业所得税税收优惠预期,促进相关产业在"十五五"时期高质量发展。