国家互联网信息办公室持续加强个人信息保护相关政策法规宣贯，指导帮助个人信息处理者规范开展个人信息处理活动，保护个人信息权益。以下为中国网信网(中央网信办主办)公布的一些具有代表性的问题和答复。

　　7.未成年人个人信息保护合规审计应包括哪些内容?

　　《未成年人网络保护条例》第三十七条规定，个人信息处理者应当自行或者委托专业机构每年对其处理未成年人个人信息遵守法律、行政法规的情况进行合规审计，并将审计情况及时报告网信等部门。《中华人民共和国民法典》第十七条规定，不满十八周岁的自然人为未成年人。

　　个人信息处理者处理未成年人个人信息，无论是否对未成年人身份进行识别，都应当按照《未成年人网络保护条例》第三十七条规定要求，自行或者委托专业机构每年对其处理未成年人个人信息遵守法律、行政法规的情况进行合规审计。

　　个人信息处理者开展未成年人个人信息保护合规审计，应当依照《中华人民共和国个人信息保护法》《未成年人网络保护条例》《网络数据安全管理条例》《儿童个人信息网络保护规定》《个人信息保护合规审计管理办法》等法律、行政法规、部门规章关于个人信息保护合规审计和未成年人个人信息保护有关规定要求，可以参照《数据安全技术 个人信息保护合规审计要求》等国家标准，对未成年人个人信息处理活动是否遵守法律、行政法规等情况进行全面审查和评价。

　　8.处理已公开的个人信息有哪些要求?

　　《个人信息保护法》第二十七条规定，“个人信息处理者可以在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息；个人明确拒绝的除外。个人信息处理者处理已公开的个人信息，对个人权益有重大影响的，应当依照本法规定取得个人同意。”

　　《个人信息保护合规审计管理办法》附件《个人信息保护合规审计指引》第十二条对违法违规处理已公开个人信息情形作了细化：(一)向已公开个人信息中的电子邮箱、手机号等发送与其公开目的无关的商业信息；(二)利用已公开的个人信息从事网络暴力、传播网络谣言和虚假信息等活动；(三)处理个人明确拒绝处理的已公开个人信息；(四)对个人权益有重大影响，未取得个人同意；(五)收集、留存或处理已公开个人信息的规模、时间或使用目的超出合理范围。

　　9.导致个人信息泄露的常见原因有哪些?

　　一是个人信息明文存储和传输，未采取适当的加密、去标识化等安全技术措施；二是存储个人信息的信息系统、数据库等未采取有效安全措施，如使用弱口令、无登录验证措施；三是可通过互联网访问的数据接口未采取有效的身份验证措施；四是互联网网站页面上包含网站关联的信息系统、数据库的登录账号与口令等。

　　《个人信息保护法》第五十一条规定，“个人信息处理者应当根据个人信息的处理目的、处理方式、个人信息的种类以及对个人权益的影响、可能存在的安全风险等，采取下列措施确保个人信息处理活动符合法律、行政法规的规定，并防止未经授权的访问以及个人信息泄露、篡改、丢失：(一)制定内部管理制度和操作规程；(二)对个人信息实行分类管理；(三)采取相应的加密、去标识化等安全技术措施；(四)合理确定个人信息处理的操作权限，并定期对从业人员进行安全教育和培训；(五)制定并组织实施个人信息安全事件应急预案；(六)法律、行政法规规定的其他措施。”

　　初审：董梓悦 复审：韩春玲 终审：韩红