惠山区审计局个人信息内部管理制度

第一章 总则

第一条 为了保护个人信息权益，规范本单位个人信息处理活动，促进个人信息合理利用，保障本单位个人信息的安全，特制定本管理制度。

第二章 术语和定义

第二条 本制度所称个人信息，是指本单位在审计过程中收集的个人姓名、出生日期、身份证件号码、住址、电话号码、账号和密码等能够单独或者与其他信息结合识别个人的信息以及涉及个人的资金、活动等信息。

第三条 本制度所称个人信息的处理包括个人信息的收集、存储、使用、加工、传输、提供、公开、删除等。

第三章 职责分工

第四条 惠山区审计局个人信息管理遵循“谁采集谁负责、谁所有谁负责、谁持有谁负责、谁管理谁负责、谁使用谁负责”的基本工作原则。

第五条 局网络与信息安全领导小组是个人信息保护工作的领导机构，主要职责是贯彻落实上级有关部门关于个人信息保护工作的发展战略、宏观规划、重大政策和工作部署，统一领导单位个人信息保护工作，统筹协调和决策个人信息保护工作中的重大问题等。分管局领导为本单位个人信息管理第一责任人，各科室负责人为本单位个人信息管理直接责任人。

第四章 信息收集、使用和处理

第六条 本单位人员在审计过程中收集、使用个人信息，应当遵循合法、正当、必要、最小化的原则。

第七条 本单位人员对其在审计过程中收集、使用的个人信息的安全负责，在收集过程中应采取管理和技术措施防止数据泄露。

第八条 本单位人员不得收集审计项目必需以外的个人信息或者将信息用于审计之外的目的，不得以欺骗、误导或者强迫等方式或者违反法律、行政法规以及保密责任书收集、使用信息。

第九条 本单位人员对审计过程中收集、使用的个人信息应当严格保密，不得泄露、篡改或者毁损，不得出售或者非法向他人提供。

第十条 依法履行法定职责处理个人信息，应该依照法律、行政法规规定的权限、程序进行，不得超出履行法定职责所必需的范围和限度。

第十一条 审计工作中采集的个人信息原则上不予共享和公开，因审计结果公告等工作原因确需公开的，涉及个人信息的数据应脱敏后公开。

第十二条 通过网络传输个人信息时，应采用审计专线等手段确保数据传输过程中的机密性和完整性。

第十三条 因业务需要，确需要向境外提供的，应当按照国家网信办和国务院有关部门制定的办法进行安全评估。

第十四条 存储个人信息的电子介质销毁时，必须要经过物理消磁或交由具备相关资质的机构进行处理；存储个人信息的纸质介质销毁时，必须物理粉碎，并有人员全程参与。

第五章 安全保障措施

第十五条 各科室应当采取以下措施防止个人信息泄露、毁损、篡改或者丢失：

1.对工作人员实行严格的权限管理，对批量导出、复制、销毁信息实行审查，并采取防泄密措施；

2.收集和产生的公民个人信息和重要业务数据应当在境内存储；

3.妥善保管记录个人信息的纸介质、光介质、电磁介质、数据介质等载体，并采取相应的安全储存措施。介质发生损坏或丢失时，应立即上报相关负责人，并按照相关规定开展应急处置措施；

4.对储存个人信息的信息系统实行接入审查，并采取防入侵、防病毒等安全措施；

5.记录对个人信息进行操作的人员、时间、地点、事项等信息；

6.按照国家相关法律法规开展信息安全风险评估、安全检测等工作。

第十六条 各科室应当对个人信息保护情况定期（至少每年一次）进行自查，记录自查情况，及时消除自查中发现的安全问题或隐患。

第六章 监督检查

第十七条 网络安全和信息化领导小组将依照本制度对各科室个人信息处理相关记录进行检查，或者通过其他网络安全检测手段检查个人信息的采集、存储、使用及处理情况。对于出现的违规行为将按照网络安全事件进行处置，相关科室及个人应按照本制度及相关整改通知，及时、彻底的整改相关问题。

第十八条 对于未及时整改或整改不力导致严重后果的科室，本单位将以通报并追究科室负责人的责任。对于违反国家法律法规的行为，本单位将配合公安、网信等主管部门进行处理。

第七章 附则

第十九条 本制度由局网络与信息安全领导小组负责制定、修订和解释。

第二十条 本制度自发布之日起执行。