2025 年 5 月，一项新规则落地：处理超过 1000 万人的个人信息的公司，现在必须至少每两年接受一次隐私合规审计——一旦出事，监管部门随时可以下令审计。
这条规则不是提案，而是已经生效。《个人信息保护合规审计管理办法》以国家互联网信息办公室令 第 18 号发布，于 2025 年 5 月 1 日施行。
关键要点
- 已经生效，不是征求意见稿：办法自 2025 年 5 月 1 日施行，溯源自《个人信息保护法》与《网络数据安全管理条例》的要求，补上了"怎么做、谁来做、多久做一次"。
- 千万级触发线：处理超过 1000 万人个人信息的处理者，必须至少每两年做一次合规审计；监管还可因风险或事故下令触发审计。
- 审计方受三条硬约束：不得转包、同一机构连续审计同一对象不得超过三次、全程保密。
- "连续三次"最巧妙：它掐断了审计方与被审计方之间舒适却麻木的长期关系，把轮换写进了规则本身。
规则如何从纸面变成义务
办法处于一条链条的后端。《个人信息保护法》与《网络数据安全管理条例》要求处理者开展合规审计；办法于 2024 年 5 月 20 日经网信办室务会审议通过，2025 年 2 月 12 日公布，补上了怎么做、谁来做、多久做一次。
此处的合规审计，指审查处理者的处理活动是否真正守法。它不是口号，而是落地的：有文档化的流程、被识别的缺口，以及一份报告。
办法还附带《个人信息保护合规审计指引》，把个保法与数据安全条例的关键合规点提炼成一份清单。两条轨道上的处理者都必须参照它——它是审计方衡量的实用标尺。
谁必须审，多久一审
核心义务拆成两条轨道。
- 自发审计：处理者应定期自查合规。硬性触发线是规模——任何处理超过 1000 万人个人信息的处理者，必须至少每两年开展一次个人信息保护合规审计。
- 触发审计：监管（网信办及其他保护部门）可在以下情形责令处理者委托专业机构：其一，处理对个人权益构成严重威胁或安全措施严重缺失；其二，可能侵害众多个人权益；其三，安全事件已泄露、篡改、丢失或销毁超过 100 万人个人信息，或超过 10 万人敏感个人信息。
1000 万这条线最抓人眼球，它圈住了超级应用、大型电商与网约车平台，以及主要的金融与健康数据持有者。
审计方自身的约束
办法罕见地把注意力放在审计者而非仅被审计者身上。专业机构须具备真实能力——合格人员、场所、设施与资金——并被鼓励寻求认证。三条约束尤为突出：
- 不得转包：受聘审计的机构不能把工作转交另一家机构。
- 独立上限：同一机构及其关联方、同一审计负责人，连续审计同一对象不得超过三次。
- 保密：所获悉的一切——个人信息、商业秘密、受限经营信息——皆须封存。
"三次"规则是最巧妙的一笔。它叫停了那种舒适、长达数年的客户关系，审计方会悄悄看不见它受雇该看见的东西。
为何不只是一张勾选表
对企业而言，实际影响是一笔循环发生的成本与一项循环存在的风险。一次触发审计由处理者付费，须在监管设定的窗口内完成，最终交出报告与整改。对用户而言，这是"隐私承诺"与"隐私凭证"之间的区别：必须有人，且是独立的人，去看一看。
放眼全球，这并不稀奇。美国联邦贸易委员会长期通过和解协议索取第三方隐私审计；欧盟 GDPR 内置了审计逻辑。中国办法的增量在于基于规模的强制与内置轮换规则。
诚实的局限
本文描述该办法自 2025 年 5 月 1 日生效；后续指引或地方执法实践可能细化"严重威胁"等术语的适用，我未对个别执法案例做审计。我的事实来自网信办官方文本及相互印证的主流媒体报道（新华社、人民日报、中国青年报）。门槛数字（1000 万、100 万、10 万）逐字取自令文，应读作法律红线而非近似值。违法罚则金额规定在个保法与条例他处，办法本身未予列明，故此处不引罚款数字。
普通人现在能做什么
- 如果你的产品在中国触及超过 1000 万人的个人数据，现在就把两年一审排上日程——别等监管来函。
- 摸清你的泄露阈值：泄露 100 万条记录或 10 万条敏感记录，可能触发一次由处理者付费、设固定期限的监管下令审计。
- 把审计当作证据而非文书——保留报告与整改痕迹，因为同一机构不得连续审计你超过三次，下一家机构将从你的上一份档案起步。