个人信息保护合规审计管理办法中已公开个人信息

做个人信息保护合规审计时，最容易卡住的一步是范围划定：从公开渠道抓来的、自己主动公开过的、第三方转公开的这批个人信息，到底算不算这次审计的对象。这篇文章不讲条文背诵，只给一套判断顺序——先按来源和公开主体分流，再看处理目的是否超出公开时的合理预期，最后把排除项写成书面说明留档。

做个人信息保护合规审计，第一步不是翻台账，而是划范围。划范围时最常卡住的一类就是「已公开个人信息」：从公开渠道抓来的、自己主动挂出去的、第三方转手给的，这批到底算不算这次审计的对象。很多团队的误区是把「公开」当成一个免检标签，只要来源写着公开就一笔划掉，结果底稿经不起复核。

这篇只讲清楚一件事：怎么把「已公开」拆成可判断的来源和处理动作，把该进来的拉进来，把该排除的写成有依据的书面说明。条文原文和条款编号到 指南中心（/guides） 对应页面核对，这里不背条文，只给能照着走的顺序和留证方法。另外价格、排名一类数字随行情变化，一律到 价格追踪（/price-watch） 看当时的数值。

先分清：审计对象不是「信息本身」，而是「处理行为」

审计盯的是你自己发起的那一段处理活动。别人公开在前、你收集在后，和你自己公开在前、后续又拿去用，性质完全不同。所以范围划定表的行，应该是「数据来源 + 你做的处理动作」这样的成对登记，而不是按字段名一刀切。同一个手机号字段，可能一部分来自用户填表、一部分来自公开页面抓取，落点不一样。

• 按业务系统登记会漏：同一系统里往往混着多种来源，字段级登记才看得见
• 按字段名排除会错：字段名一样不代表来源一样，来源不一样结论就不一样
• 待评估项要有责任人和时间口径，不能长期挂着不动
• 登记表本身也是审计证据，谁填的、谁复核的都要落在表上

三类来源，三套判断口径

把来源先分成三类，每类用不同的问题去问。这样做的目的是避免用一个笼统的「是否公开」去套所有情况，因为三类来源的风险点和举证重点本来就不一样。

自己主动公开的

重点看后续处理目的是否还在公开时那个合理预期之内，超出预期的部分单列成待评估项

他人依法公开的

比如公示、裁判文书、招标公告，重点看收集手段是否合规、有没有超出必要范围批量拉取

第三方转手给的

不能因为上游说是公开的就直接排除，要向上追一层来源，追不到就按未公开处理

第三类最容易踩坑。实操里常见的是供应商打包给一份「公开数据」，合同里写一句来源合法，团队就当成已公开。建议的做法是把举证责任前推：要么拿到上游的具体来源说明，要么自己抽查若干条回溯验证。追不到来源的，宁可先按未公开处理，走更严的一档流程，也不要赌复核时没人问。

什么情况下写进排除项，怎么写才站得住

1. 先对三条口径公开主体是不是信息本人、公开渠道是否合法、你的处理目的是否与公开目的相容。三条有一条对不上，就先别排除，放进待评估。
2. 再写排除说明一段话讲清楚：排除的是哪批数据、依据哪条口径、谁复核过、什么时候复核的。这段说明比排除结论本身更重要。
3. 最后自查误排除公开数据聚合后重新识别到个人、把公开头像用于人脸比对、把公开联系方式用于营销外呼，这三类最常见，逐条过一遍。

落地四步：登记、分流、留证、复检

前面讲的是怎么判断，这一节讲怎么把这套判断落成可交付的底稿。四步走，顺序别调，尤其是留证这一步不能省，否则前面分流做得再细，复核时也说不清。

1. 登记把本次审计涉及的数据源铺成一张表，逐字段标来源。登记粒度到字段，不到系统。
2. 分流按三类来源各自的口径过一遍，每行给出范围内、排除项或待评估的初步结论。
3. 留证每个排除项配一条证据链：来源页面口径、抓取或接收记录、内部评审记录，三样至少有两样。
4. 复检定好触发条件——来源渠道变更、处理目的新增、上游供应商更换，任一触发就重跑一遍分流。

复检条件最好写进流程文件，而不是靠人记。复检不需要每次全量重做，只重跑受影响的那部分行即可，这样才有可执行性。工具层面的批量核查和来源回溯，可以到 工具目录（/tools/speed-test） 找找有没有能省手工的现成手段，具体能力以站内页面说明为准。

这几类场景这套口径不适用

前面那套分流方法有适用边界，下面几种情况别硬套，否则容易得出偏松的结论。

• 涉及敏感个人信息、不满十四周岁未成年人信息的，即使来源是公开渠道，也不建议按已公开直接排除，按更严的一档处理
• 仅做内部合规审计、不对外产出结论的场景，可以放宽登记粒度，但排除项说明不能省
• 已经进入数据出境评估或监管问询流程的，范围划定口径要跟那边的口径对齐，别两套说法
• 上游数据供应商拒绝说明具体来源的，按未公开处理，等对方补齐材料再重新评估

公开只是来源属性，不是合规结论；结论要靠来源、目的、动作三样一起看。