关于个人信息保护审计几个重要问题的问答
发文时间:2025-11-11
作者:陈文昊 原舒仪 孙杨 李诗
来源:植德律师事务所
收藏
473

2025年2月14日晚,国家网信办发布了《个人信息保护合规审计管理办法》(以下简称“个保审计办法”),并自2025年5月1日起施行。个人信息保护合规审计(以下简称“个保审计”)是继数据出境合规之后又一项对于全行业数据处理者来说需要普遍关注的重要数据合规义务。

  个保审计有着很强的实践操作性,因此本文意在结合我们对个保审计法规与相关国标的理解,以及我们在已经协助客户开展的个保审计项目中的实践经验,直接回应企业关心的关于个保审计的重要问题。

  Q1:个保审计是一项新的法律义务吗?

  A:并不是,《个人信息保护法》(以下简称“个保法”)(第54条)与《网络数据安全管理条例》(以下简称“网数条例”)(第27条)已经规定了个人信息处理者/网络数据处理者进行个保审计的义务。个保审计办法是对上述法律法规义务的落地,与此前数据出境落地执行相类似。

  Q2:个保审计的对象是个人信息处理者对“法律、行政法规”的遵守情况,那对“国标”、特别是推荐性国标的遵守情况要不要纳入审计范围?

  A:我们认为对于该问题的回答,应当秉持“实用主义”原则。尽管个保审计办法、个保法、网数条例仅提及了对“法律、法规”的遵守情况进行审计,但实践中数据合规领域不乏推荐性国标被作为法律法规的“实施细则”,进而被监管执法部门直接引用为执法依据的情况。因此我们建议将对这一类国家标准的遵守情况纳入审计范畴。

  需要说明的是,实践中并非所有推荐性国标都会被监管与执法部门作为执法依据,因此哪些国标需要被重点参考,还有赖于审计机构或审计部门的经验。

  Q3:个保审计分为哪些类型?

  A:按照审计发起的原因,分为“自主审计”与“监管审计”。所谓“自主审计”,是指个人信息处理者应当定期对其处理个人信息遵守法律、行政法规的情况进行合规审计,其中,处理超过1000万人个人信息的个人信息处理者,应当每两年至少开展一次个人信息保护合规审计。虽然个保审计办法并未明确要求处理个人信息数量不足1000万人的个人信息处理者开展个保审计,但个保审计办法也并未明确豁免其他个人信息处理者履行个保审计义务。鉴于开展个保审计是《个人信息保护法》规定应由个人信息处理者履行的合规义务,我们仍建议其他个人信息处理者开展个保审计工作。而“监管审计”是指在发生包括三类高风险场景:存在严重侵害个人信息权益风险、可能影响众多个体权益、发生重大数据安全事件时,监管部门要求个人信息处理者开展个保审计。

  关于“监管审计”,需要提醒企业的是,由于该类审计由监管机关发起,特定情形是否属于三类高风险场景,将由监管部门独立做出认定,因此企业应当建立内部合规监控体系,如果发生相关数据安全事件,除了根据法律法规要求启动数据安全事件应急响应机制之外,还要做好启动个保审计的准备。

  Q4:个保审计由谁来做?有完成时限要求吗?

  A:“自主审计”可自行进行,亦可以委托专业机构进行;“监管审计”应委托第三方进行。

  “自主审计”无时限要求,“监管审计”应当在限定时间内完成,但具体时间如何限定没有进一步规定,我们理解监管部门将结合企业处理数据规模、触发“监管审计”的原因来综合确定审计时限。

  Q5:只要处理超过1000万人个人信息,都需要自主做个保审计吗?

  A:个保审计办法规定处理超过1000万人个人信息的个人信息处理者,应当每两年至少开展一次个人信息保护合规审计。适用这条的前提条件不但需要考察处理个人信息的数量,还需要考察处理个人信息的数据法律地位,即是否构成数据处理者。如果以数据处理受托方的身份处理的数据,我们认为不应纳入此处数据统计范围。

  但需要说明的是,参考我们在数据出境项目中的经验,在实践中监管部门可能对“数据处理者”的认定比较宽泛,因此我们建议企业在签署相关数据处理协议或商业合同时,明确双方的数据处理法律关系。

  此外,需要说明的是,如果处理未成年人个人信息,根据《未成年人网络保护条例》的规定,个人信息处理者每年对其处理未成年人个人信息的情况进行合规审计。而对于特定行业(例如金融、医疗行业),还需要关注行业监管部门的特别要求。

  Q6:委托什么类型的专业机构?

  A:相较征求意见稿,个保审计办法没有采取制定“专业机构推荐目录”这一做法,且没有强制要求专业机构通过认证。很多企业纠结委托哪一类机构作为审计专业机构(律师事务所、技术检测专业机构等),我们建议企业可参考个保审计办法附件《个人信息保护合规审计指引》以及国家标准《数据安全技术 个人信息保护合规审计要求(送审稿)》规定的审计项,就不难得出个保审计的审计项主要是考察法律合规问题,部分审计项需要进行技术验证。因此我们推荐由律师事务所作为外部专业机构进行审计,并辅以技术验证或检测。

  Q7:审计团队可以由内部与外部团队组合构成吗?

  A:个保审计办法没有限制该等组合。事实上,通常一家专业机构很难做到全面覆盖法律合规与技术部分的审计,因此实践中可以考虑委托不同专业机构负责不同板块内容,或者委托一家专业机构并由其将部分工作内容分包给其他机构完成,或者由内部与外部团队共同组成审计团队(如外部专业机构提供法律合规审计,内部团队进行技术验证与检测)。

  需要说明的是,无论何种配合方式,都需要遵循个保审计诚信正直、公正客观的原则,并做好审计团队内部工作界面的划分与协调。

  Q8:审计范围需要100%覆盖吗?

  A:我们认为个保审计办法附件《个人信息保护合规审计指引》中所列重点审查事项,在适用的情况下应当全面覆盖。但现实中针对某些事项,可采取抽样的审计方式,例如零售企业旗下可能拥有众多零售店铺,审计团队可采取抽样方式选取特定店铺进行合规审计,并在报告中予以说明。

  Q9:审计结论必须是无保留的“清洁”意见吗?

  A:遵循客观原则,企业实际情况是什么样审计结论就是什么样。个保审计制度设计的初衷就是“以审促改”,审计的目的是帮助企业发现问题,重点是后续的整改环节。

  从个保审计项目工作内容来看,整改并非“自主审计”范围,但属于“监管审计”事项的必要工作范围。在“自主审计”中,企业可请审计团队对整改结果进行进一步的审查,或者在后续审计中进行审查。

  Q10:外部专业审计机构可以协助企业进行整改吗?如果协助企业进行整改,可以后续进一步做审计业务吗?

  A:我们认为是可以的。个保审计办法强调的是专业机构需秉承“诚信正直、公正客观”的原则,但并不意味着参与了整改或者日常服务工作,就有违该等原则。而且同一专业机构发现问题后,更有助于后续协助企业完成整改。整改的最终落地毕竟还需靠企业自身完成,所以专业机构对整改效果的核查或进一步审计,也是对企业合规落地情况的检验。

  Q11:企业内部谁来牵头个保审计项目?

  A:超过100万人的个人信息处理者应当指定个人信息保护负责人,并负责进行个保审计。

  需要说明的是,个保负责人的设置仍可以进一步细化,且设立条件也并非仅仅考察处理个人信息的数量。例如,如果处理儿童个人信息的,应当指定专人负责儿童个人信息保护(《儿童个人信息网络保护规定》第8条)。

  Q12:集团公司可否合并审计?

  A:我们认为存在业务关联,特别是数据交互(如共用系统或数据相互流转)的集团公司是可以的。若非前述情况,将不同集团公司合并审计,恐缺乏合理性和必要性,建议还是分开审计。需要注意在报告中要说明审计范围涵盖哪些主体,特别是这些主体之间的数据处理关系。

  我们认为存在数据交互的集团公司合并审计更能反映数据处理实际情况,更容易发现相关合规问题,但同时毫无疑问也会增加相应的工作量与工作难度。

 Q13:个保审计的审计要点都有哪些?

  A:个保审计参考要点如下:

5bace08218625e9763a1a317daaccaef_7838ae87789a9242ff76ff7cc6731ab1.png

Q14:相较于其他数据合规项目,个保审计项目需要特别注意什么吗?

  A:个保审计是对企业个人信息处理情况的全面盘点,因此工作范围覆盖面非常之广。个保审计是实质性审查,而非形式审查,且个保审计强调程序与流程。相较一般个人信息保护项目,个保审计项目对于审计底稿、审计证据提出了很高的要求,因此在开展个保审计的过程中,企业与专业审计机构应该特别关注相关程序性要求。

  植德数据合规组

  植德数据合规组,目前有5名以上的合伙人重点发展数据合规业务,组员超过20名。植德北京、上海、深圳、武汉、青岛、成都各地办公室共有15名以上合伙人、律师加入深圳数据交易所认证的DEXCO(数据交易合规师)成员;6名以上成员持有工业和信息化部教育与考试中心认证的数据安全管理审计(高级)证书;10名以上合伙人、律师持有其他数据合规相关资质。

  目前,植德数据合规组拥有成熟的数据合规产品体系,覆盖投资端、资产端、交易端到争议解决端,服务对象包括政府监管部门、事业单位、行业协会、央企、国企、民企、外资企业和公益组织,覆盖的行业包括金融、金融科技、互联网、先进制造业、能源、医疗、跨境电商、酒店、零售等行业。具体产品包括境内外IPO数据合规专项服务、企业数据出境安全评估业务、企业个人信息出境标准合同备案业务、拟IPO企业网络安全审查法律服务、App合规法律服务、个人信息审计法律服务、数据产品交易挂牌法律服务、数据资源入表法律服务、数据合规体系建设服务、AIGC算法备案服务、数据争议解决服务、投融资并购数据合规服务、员工个人信息保护法律服务等。

我要补充
0

推荐阅读

一般纳税人登记新政落地,小规模纳税人如何合规应对?

  背 景

  为落实《中华人民共和国增值税法》及其实施条例的要求,实行一般纳税人登记管理,国家税务总局配套制发《关于增值税一般纳税人登记管理有关事项的公告》(国家税务总局公告2026年第2号,以下简称“新规”),自2026年1月1日起正式施行。新规标志着增值税一般纳税人登记管理从“程序性告知”迈入“实质性监管”的新阶段。新规的核心并非仅在于明确谁该登记,而在于全面重构了增值税纳税人身份转换的触发逻辑与后果体系。

       主要内容

一、新政核心:三处关键变化与监管底层逻辑重塑

  01、生效时点从“未来时”变为“进行时+过去时”

  过去,根据《增值税一般纳税人登记管理办法》(国家税务总局令第43号)规定,小规模纳税人销售额超标,在超标的所属申报期结束后15日内办理一般纳税人登记,并自办理登记的当月1日或者次月1日起才按一般纳税人计税,存在缓冲期。新规规定,一般纳税人生效之日直接追溯至销售额超过增值税法规定的小规模纳税人标准(500万元)的当期1日。这意味着,企业可能在达标当月就需按高税率计税,几乎没有反应时间。

  02、豁免范围实质性收窄,监管网更密

  新规明确,仅有“自然人”及“不经常发生应税交易且主要业务不属于应税交易范围的非企业单位”可在超标后选择维持小规模纳税人身份。这实质上将绝大多数市场化运营的企业和个体工商户完全纳入强制登记范围,过去部分单位利用政策模糊地带选择不办理一般纳税人登记的空间基本消失。

  03、“追溯调整”成为最大风险变量

  这是本次改革的“重磅条款”。纳税人因自查补报、风控核查或税务稽查等原因,对以往期间销售额进行调整时,该调整额必须“回归”到其纳税义务发生时的所属期,并重新计算该期是否超标。

  若因此导致历史某期超标,则一般纳税人身份及其纳税义务将追溯至该期首日生效。这等于为纳税人的历史申报数据设置了“延时风险触发机制”。

  综合以上变化可见,相关监管的底层逻辑已被重塑:从“身份管理”转变为“行为追溯”,即从管理纳税人当前的“身份状态”,转向追溯审视其持续经营“行为轨迹”。税务合规的考察期被拉长,历史期间的申报不实问题可能在未来因一个调整行为而引发系统性重估与补税。

二、新政对小规模纳税人企业的挑战和影响

  01、税负“跳升”与现金流冲击

  一旦被追溯认定为一般纳税人,过往期间已按1%或3%缴纳的税款,需按6%、9%或13%的适用税率重新计算。若企业进项发票获取不足,巨额补税差额及每日万分之五的滞纳金将直接冲击企业现金流。例如,某企业追溯期内有100万元收入已按1%缴税1万元,若按13%计税且无进项抵扣,需补缴12万元税款及相应滞纳金。

  02、动态监控压力剧增

  企业必须建立连续12个月或四个季度销售额的滚动计算与预警机制。任何月份的疏忽都可能导致销售额超标而不自知,进而触发逾期登记的被动管理。

  03、连锁性合规风险

  身份追溯变更将联动影响企业所得税(收入需价税分离重算)、印花税(计税依据可能调整)以及附加税费的申报,并导致小规模纳税人阶段享受的所有税收优惠(如月度销售额10万以下免征增值税)自追溯生效日起丧失。

  04、纳税辅导期制度取消

  新规明确废止了一般纳税人辅导期管理,包括限量限额发放专用发票、增领专票预缴增值税等限制性措施,降低了相关纳税人办税成本和时间成本,同时缓解企业现金流压力。新登记的一般纳税人自生效之日起即可全额抵扣进项税额,实行增值税一般纳税人纳税辅导期管理的一般纳税人因增领增值税专用发票发生的预缴增值税有余额的,可用于抵减增值税税款或向主管税务机关申请退还。

  05、过渡期提供“风险缓冲”

  对于调整2025年及以前所属期销售额导致超标的情形,新规将生效日设定为不早于2026年1月1日。这实际上为历史问题提供了最后的合规整改窗口期。

三、合规应对:构建“免疫体系”的实操要点

  在日趋严格的“以数治税”环境下,被动应对已不足以防范风险。企业需构建主动的税务健康“免疫体系”。

  01、即刻行动:完成风险扫描与过渡期利用

  1) 全面自查

  立即复核以往申报数据,确保账载收入、开票收入与申报收入的一致性与准确性。如发生差异,应充分利用针对2025年问题的过渡期政策,在过渡期内主动完成更正。

  2) 锁定生效时点

  对于2025年四季度或12月所属期超标的小规模纳税人,其一般纳税人生效日已统一为2026年1月1日。应即刻启动税控设备升级、财务系统调整以及向主要客户告知开票税率变更等事宜。

  02、中期构建:建立常态化防御机制

  1) 建立动态监控机制

  建立月度滚动销售额计算表,设定预警阈值,实现销售额超标自动预警。

  2) 合同与发票流程再造

  审核长期合同,对可能跨越身份转换时点的收入,明确按纳税义务发生时间分别适用不同税率开票。业务部门需知晓,发票税率并非仅由开票时点决定,更由应税交易发生时的纳税人身份决定。

  3) 进项抵扣意识前置

  即使暂为小规模纳税人,对于未来可能转为一般纳税人的企业,应有意识地选择能开具增值税专用发票的供应商,并规范取得与保管扣税凭证,为未来可能发生的追溯抵扣做好准备。

  03、长期规划:从合规负担到竞争优势

  1) 主动评估身份转换

  当销售额接近标准且业务可持续时,应主动评估提前转为一般纳税人的利弊。转为一般纳税人虽税率提高,但能开具专票,有利于与大客户合作,且通过进项抵扣可有效管理整体税负。

  2) 业财税一体化

  将税务风控点前移至业务签订、采购决策等环节。例如,在销售额临近红线时,新的采购决策应优先考虑进项抵扣因素;业务报价模型中应包含不同纳税人身份下的税负成本测算。

  3) 摒弃侥幸心理

  必须彻底杜绝通过个人账户收款、隐匿收入或滥用多个主体拆分销售额的做法。金税系统的持续升级与多部门数据共享,使得此类行为被发现的概率极大,而新规下的追溯补税代价将是巨大的。


  作者简介

  李欣  总监

  致同税务

  刘超  高级经理

  致同税务

新增值税法对企业租用个人房屋的税费影响

  2026年实施的《中华人民共和国增值税法》及其实施条例,为个人出租房屋提供了更清晰的法律框架,但日常开票涉及的核心税率和优惠政策目前保持稳定。

  在实际生活中,大部分企业租用个人房产所产生的税费都是由企业承担,那么,新增值税法实施后,企业租用个人房屋的税费有什么变化呢?下面将为你详细讲解:

  一、个人出租房屋税费明细(2026年)

  个人出租房屋主要涉及以下税种,且住房与非住房(如商铺、办公楼)的税率和优惠差别很大。

  为了方便你对比,以下是个人出租住房和非住房的税费政策概览:

  (一)个人出租住房

  1、增值税

  征收率、税率:3%征收率减按1.5%计算。

  免税政策:分摊后月租金≤10万元,免征(开具增值税专用发票除外)。

  2、房产税

  征收率、税率:按租金收入的4%征收。

  免税政策:2027年底前可减半征收(即实际按2%)。

  3、个人所得税

  征收率/税率:暂减按10%征收。

  免税政策:无

  4、城镇土地使用税

  征收率、税率:免征。

  免税政策:无

  5、印花税

  征收率、税率:免征。

  免税政策:无

  6、城市维护建设税及附加(教育费附加、地方教育附加)

  征收率、税率:按实缴增值税税额计算(城建税7%/5%/1%,教育费附加3%,地方教育附加2%)。

  免税政策:2027年底前可减半征收;若增值税免征,则附加税费也免征。

  (二)个人出租非住房(商铺、写字楼等)

  1、增值税

  征收率/税率:按租金收入的3%征收。

  免税政策:分摊后月租金≤10万元,免征(开具增值税专用发票除外)。

  2、房产税

  征收率、税率:按租金收入的12%征收。

  免税政策:2027年底前可减半征收(即实际按6%)。

  3、个人所得税

  征收率、税率:按租金收入的20%征收。

  免税政策:无

  4、城镇土地使用税

  征收率、税率:按土地面积和等级定额征收。

  免税政策:2027年底前可减半征收。

  5、 印花税

  征收率、税率:按租赁合同金额的0.1%征收。

  免税政策:2027年底前可减半征收。

  6、城市维护建设税及附加(教育费附加、地方教育附加)

  征收率、税率:按实缴增值税税额计算(城建税7%/5%/1%,教育费附加3%,地方教育附加2%)。

  免税政策:2027年底前可减半征收;若增值税免征,则附加税费也免征。

  二、关键政策与计算示例

  1. 核心免税政策:在2027年12月31日前,如果你一次性收取租金,可以分摊到各月。只要分摊后的月租金收入不超过10万元,就可以享受免征增值税优惠(但如果你为租客开具了增值税专用发票,则不能免税)。

  2. 个人所得税计算:这是计算最复杂的部分。税款基于“应纳税所得额”征收,计算时允许按顺序扣除以下项目:

  租赁过程中缴纳的除增值税外的其他税费(如城建税、房产税)。

  由你负担的、能提供有效凭证的修缮费用(每月最多扣800元)。

  法定的费用扣除(每次收入≤4000元扣800元,>4000元扣20%)。

  3. 房产税计算:注意房产税的计税依据是“不含增值税的租金收入”。如果月租金未超过10万元且享受了增值税免征,那么房产税就直接按实际收到的租金(即不含税租金)计算。

  计算示例:

  假设你在市区有套住房,月租金为5000元(年租金6万元),一次性收取。

  增值税:

  分摊后月租金5000元<10万元,免征。

  房产税:

  年租金60000元 × 4% × 50%(减半优惠)= 1200元(年)。

  个税(据实征收):

  应纳税所得额 = 5000元(月租金) - 100元(房产税,按月均摊) - 800元(修缮费,假设无) - 800元(费用扣除) = 3300元

  应缴个税 = 3300元 × 10% = 330元(月)

  三、发票开具与申报要点

  1、纳税地点:根据新法,自然人出租不动产,应当向不动产所在地的主管税务机关申报纳税。

  2、普通发票 vs 专用发票:如果租客(通常是企业)需要增值税专用发票用于抵扣,则你必须向税务机关申请代开,并无法享受月租金10万元以下的增值税免税,其他附加税费也需按实际缴纳的增值税计算。

  3、“核定征收”可能:对于个人所得税,在部分省市,税务机关为简化征管,可能会对个人出租房屋采用“核定征收率”的方式。例如,按租金收入的1%-2%左右直接核定个人所得税额,具体需咨询当地税务局。

  总而言之,2026年增值税新法的实施对个人房东而言,短期内实际税负和开票流程变化不大,但法律基础更加牢固。