中國個資合規審計：頻率依處理人數分級
國家網信辦 2026 年 4 月 29 日發布「個人信息保護政策法規問答（2026年4月）」，其中一題回答個人資訊處理者多久要做一次合規審計。
問答先引《個人信息保護法》第 54 條：個人資訊處理者應定期對處理個資遵守法律、行政法規的情況進行合規審計。接著引《個人信息保護合規審計管理辦法》第四條：
处理超过1000万人个人信息的个人信息处理者，应当每两年至少开展一次个人信息保护合规审计。
規模較小的處理者也有建議頻率。問答稱，參照國家標準《數據安全技術 個人信息保護合規審計要求》，處理超過 100 萬、不超過 1,000 萬人個資者，每三年或四年至少一次；處理不超過 100 萬人者，每五年至少一次。
人數怎麼算，問答也有說明：按處理者當前處理個資涉及的自然人數量統計，不包括已經刪除的個資。處理未成年人個資的，依《未成年人網絡保護條例》第三十七條，要每年做一次合規審計。
時程上，金杜研究在安全內參轉載的文章中稱，依《個人信息保護合規審計管理辦法》，2027 年 4 月 30 日是首次合規審計的截止日期。
2026 專項行動：App 與嵌入的 SDK 列為治理對象
安全內參 2026 年 4 月 14 日轉載的金杜研究解讀指出，中央網信辦、工業和信息化部、公安部三部委聯合發布了 2026 年個人信息保護系列專項行動的公告。
該文稱，2026 年專項行動繼續以 App、SDK 等載體為治理對象，對象包括「常见类型APP以及嵌入的SDK个人信息收集使用活动」。具體場景也延伸到互聯網廣告、教育、交通、衛生健康、金融等重點領域。
該文整理的重點治理問題包括以下幾項：
- 告知的收集使用目的、方式、範圍，與實際收集使用情況不一致。
- 未經同意收集使用個資，或強制同意收集非必要個資。
- 在無關場景收集位置、通訊錄、簡訊等個資，或超出最低必要頻率調用個資權限。
金杜稱，圍繞透明度的監管邏輯沒有改變，隱私政策等法律文件仍是監管審查重點；該文也稱，結合 2025 年的監管趨勢，隱私政策作為基礎合規十分重要，而監管審查也明顯強調技術合規。金杜也依其經驗觀察稱，合規風險主要產生於隱私政策與其他法律文件的編製環節，企業存在告知即免責的誤區，誤解了告知的合規功能。
詹俊宇律師網站 2026 年 3 月 27 日的實務指南也稱，從近兩年的監管邏輯看，監管部門不再只看企業有沒有一套紙面制度，合規工作已從寫制度轉向證明真的按制度做。
同一份實務指南也整理了自動化決策的要求。依該文整理的《個人信息保護法》第 24 條，業者要提供不針對個人特徵的選項或便捷的拒絕方式；對個人權益有重大影響的決定，個人有權要求說明。
行銷工具與模型 API：資料流向第三方的位置
CRM 廠商紛享銷客網站 2026 年 4 月 20 日刊出的一篇投稿，列了幾個智慧行銷系統的個資風險點。該文稱，行銷團隊為了豐富客戶畫像，可能整合未經充分授權的第三方 SDK，或透過爬蟲取得資料。
同一篇投稿也談到模型 API。該文稱，行銷團隊呼叫外部大型模型 API 改寫郵件或產生文案時，若把含客戶姓名、聯絡方式的提示詞（Prompt）直接送出，就構成嚴重的資料外洩。該文也稱，智慧客服或銷售機器人在對話中，可能無意間引導或記錄下使用者的敏感個資。
金杜對 2026 專項行動的解讀則提到，互聯網廣告等各子領域都強調共享環節的合規要求。
我們的判斷是，SDK 代收與 API 外送都是資料離開品牌自有系統的位置，盤點時可以放在同一張表上。
Consent Mode：歐盟同意要求與 ad_storage 變更
德國漢堡數位代理商 Senorit 2026 年 4 月 15 日的文章稱，自 2024 年 3 月起，Google 要求廣告主向歐洲經濟區（EEA）使用者收集同意，並把同意訊號傳給 Google，例如透過 Consent Mode v2。該文稱，沒有這些訊號，針對這些使用者的衡量、個人化廣告與再行銷就會停止運作。UniConsent 也寫到，Google 自 2024 年 3 月起對 EEA 流量強制執行 Consent Mode v2。
拒絕率方面，Senorit 引述 etracker 2025 年的基準研究稱，在 cookie 橫幅合法合規的網站上，有 60% 的造訪拒絕以同意為基礎的追蹤。該文另寫道：
If you measure only consenting users, you work with a systematically skewed picture of your own business
中譯大意：只量測給了同意的使用者，看到的是一幅被系統性扭曲的自家生意圖像。
模式選擇上，Senorit 稱其追蹤的德國資料保護顧問偏好 Basic Mode，理由是在 Advanced Mode 下，使用者明確拒絕後，網站仍會向 Google 送出無 cookie 的 ping。
同意管理平台業者 UniConsent 2026 年 4 月 27 日的文章談到另一個時間點。該文引述 Google 公告稱，自 2026 年 6 月 15 日起，Google Analytics 將改以（Google Ads 內的）Consent Mode 作為資料的單一控制，但這段公告內容無法另行核實。該文稱，這種單一控制模式適用於已連結 GA4 與 Google Ads 的資源。UniConsent 的解讀是，6 月 15 日之後，ad_storage 成為連結 Google Ads 帳戶廣告資料的唯一依據，Google Signals 則縮限為只用於 Analytics。
ad_storage becomes the sole authority for all advertising data collected for linked Ads accounts
該文稱，一旦記錄到拒絕狀態，再行銷名單就停止增長；若轉換確認頁、子網域等特定頁面的設定有缺口，回報的轉換數會出現原因不明的下降。
該文也稱，轉換建模需要足夠數量的同意工作階段才能估算；對 GDPR 地區，正確設定是 ad_storage 與 analytics_storage 預設為 denied，使用者主動接受後才改為 granted。
EU AI Act 期限與 AI 管線的個資處理
Holland & Knight 2026 年 4 月 28 日的分析稱，EU AI Act 大部分剩餘條文原定 2026 年 8 月 2 日生效。依該文，高風險 AI 系統的提供者在合格評估完成後須簽發合格聲明，系統也須在上市或投入使用前登記於歐盟資料庫。該文稱，企業不需要在歐洲設辦公室或雇用歐洲員工，也可能落入適用範圍。
罰則方面，該文稱高風險系統不合規最高可罰 1,500 萬歐元或全球年營業額的 3%；向主管機關提供不正確或誤導資訊，最高可罰 750 萬歐元或全球年營業額的 1%。
期限本身在該文發布時並未定案。Holland & Knight 寫道，歐洲議會投票延後關鍵合規期限，把高風險 AI 系統的要求延到 2027 年 12 月、特定產業義務延到 2028 年 8 月；但延期要在原訂期限前生效，還須在歐盟理事會達成政治協議。以上為該文 2026 年 4 月 28 日發布時的狀態。
行銷用途算不算高風險，Holland & Knight 列出的高風險用途包括生物辨識、關鍵基礎設施、教育、就業、取得基本服務（含信用評分與保險）等，未提到行銷。紛享銷客網站的投稿則稱，行銷系統若基於健康狀況、種族、宗教等敏感資料做客戶畫像與精準投放，極有可能被劃為高風險。
AI 管線的個資處理，資料治理業者 Atlan 2026 年 7 月 20 日的文章提了幾個做法。該文稱，embedding 要在建立索引前就納入治理，而不是在檢索後才清理；沒有任務用途的敏感值，要在 embedding 前遮蔽或代碼化。該文也建議對有保存期限的紀錄設定刪除流程，並稱過時、未受治理的 embedding 會成為長期的隱私負擔。到了檢索階段，該文建議再依用途、角色、agent 與管道套用政策。
更多 AI 相關整理，可以從 AI・AEO/GEO 主題頁開始。
銷波快觀點：合規的代價是通道被關掉
談公司資產上雲的時候我們拆過一組概念，這裡完全適用。以 private repo 為例，存取控制講的是誰拿得到資料，內容機密講的是拿到了能不能看懂。私有權限只解決第一層，供應商本身技術上仍然讀得到內容，你信任的是他不會亂看。第三方 SDK 也是這個結構，只是主體換成工具商。
照這個拆法看，SDK 盤點該問兩個問題。第一個是誰能拿到，也就是清單上有哪些工具、各自讀了什麼權限。第二個是拿到的內容裡有什麼，熱圖錄到的表單欄位、客服對話裡的手機號、送給模型 API 的 Prompt，這些都是內容層。只做第一層，就會漏掉最容易出事的那一半。
另外一件事值得放在心上。我們在節目裡談過電子郵件的寄件認證，當時的看法是：那不是技術問題，是收入保護的優先事項。合規的代價從來不是罰單，是通道被關掉。Consent Mode 的 ad_storage 也是同一個形狀，訊號沒接上，功能就沒有。
還有一個長期方向。我們在節目裡談過第三方 cookie 受限之後，再行銷的可行性就受衝擊，企業要自己建後端記錄才追得到使用者，這對中小企業是很高的技術門檻。當時我們的結論是自然流量與第一方資料能力要提早準備。現在看，那個結論和合規是同一條路：CRM 裡的第一方資料是你自己收的、同意是你自己取得的，不必替工具商的採集行為背書。
最後補一個測不到的角落。顧客可能已經在 ChatGPT 或 Perplexity 的對話裡見過你的品牌，而你不知道。這一層 AI 來源的互動，也是一組要納入盤點的接觸點資料。合規清單會一直變長，早一點把盤點做成固定流程，晚一點就不必每次從零開始。
結論：先把 SDK 與資料外送路徑列成清單
我們的判斷是，盤點可以從兩張清單開始。
第一張是 App 與網站裡的外部 SDK：各自的用途、讀取的權限、對應的隱私政策版本。金杜整理的 2026 專項行動重點治理問題之一，正是告知內容與實際收集使用情況不一致。
第二張是資料送往外部服務的路徑，包括模型 API 與 AI 知識庫。紛享銷客網站的投稿點出提示詞裡的客戶姓名與聯絡方式，Atlan 則建議在 embedding 前遮蔽沒有任務用途的敏感值。
有 GDPR 地區（歐洲經濟區、英國、瑞士）流量的品牌，可以再對照 UniConsent 列的設定：預設 denied，並確認轉換確認頁與子網域都有接上同意訊號。
至於多久做一次合規審計，國家網信辦的問答依處理人數分級列出頻率，兩張清單可以當成審計準備的一部分。
合規做起來不迷人，但它守的是通道。
喜歡這篇？讓行銷變好懂，訂閱銷波快。
資料來源
- 個人信息保護政策法規問答（2026年4月）cac.gov.cn
- 2026年个人信息保护专项行动的变与不变（金杜研究）secrss.com
- 企業數據合規與個人信息保護實務指南：2026年最新監管要求與操作要點zhanjunyu.com
- 2026年智能營銷系統數據安全合規指南fxiaoke.com
- Why 60% of Your Analytics Data Is Missing, and How to Fix Itsenorit.de
- Google Consent Mode June 2026 Update: Unified Control for All Google Ads Datauniconsent.com
- U.S. Companies Face EU AI Act’s Possible August 2026 Compliance Deadlinehklaw.com
- How to Handle PII in AI Pipelinesatlan.com
