个人信息保护合规审计管理办法（2025年） 第五条

第五条 个人信息处理者有以下情形之一的，国家网信部门和其他履行个人信息保护职责的部门（以下统称为保护部门），可以要求个人信息处理者委托专业机构对个人信息处理活动进行合规审计：

发现个人信息处理活动存在严重影响个人权益或者严重缺乏安全措施等较大风险的；

个人信息处理活动可能侵害众多个人的权益的；

发生个人信息安全事件，导致100万人以上个人信息或者10万人以上敏感个人信息泄露、篡改、丢失、毁损的。

对同一个人信息安全事件或者风险，不得重复要求个人信息处理者委托专业机构开展个人信息保护合规审计。