隐私是个人希望隐藏的事情，从表现形式上看，隐私可以分为私人空间、私人活动和私人信息。其中私人信息包括个人信息和交流信息，个人信息是个人特征和历史的记录，包括收入状况、电话号码等，交流信息是人们之间交流的内容，包括谈话、信件、电报等。随着计算机技术的发展及互联网的广泛应用，信息交流与沟通渠道不断拓宽，无论是个人自身的信息还是与他人交流的信息，越来越被信息所有者和侵害者所关注，隐私被侵害的事件时有发生。 一、隐私保护审计的理论依据 受托经济责任观认为，受托经济责任是受托责任人按照特定的原则或要求经管受托经济资源并报告其经管状况的义务，包括行为责任和报告责任两大部分。行为责任包括保全责任、遵纪守法责任、节约责任、效率责任、效果责任、社会责任以及控制责任；报告责任主要是指按照公允性或可信性的要求编制报告。受托经济责任可以分为狭义的受托经济责任和广义的受托经济责任。广义的受托经济责任包括两层含义：①受托人对所有利害关系人的责任；②影响受托人经管经济资源的所有直接和间接责任，如环境保护责任，法律法规要求企业按照既定的排污标准排放废物，如果没有达到要求，将受到处罚，甚至停业处理，进而影响委托人特定要求的实现。随着社会经济的发展，委托人对受托人的要求和原则不断发生变化，受托经济责任也不断拓展和演进，从传统的保全责任等拓展到环境保护责任、适当责任等。随着隐私保护要求的呼声越来越高，隐私保护责任也成为受托经济责任拓展的一个方面。因此我们认为，隐私保护的理论依据是受托经济责任。为了确保受托隐私保护责任的实现，隐私保护审计应运而生，隐私保护审计是指确保受托隐私保护责任全面有效履行的一种特殊的经济控制。 二、隐私保护审计的目标 以受托经济责任观为理论依据，笔者认为隐私保护审计的目标不应该囊括所有的隐私保护项目，而应该以委托人的特定要求和原则为主，隐私保护审计的目标包括本质目标和具体目标两个层面。 1.本质目标。受托经济责任观认为，审计本质上是一种特殊的经济控制。由于委托人存在时间和空间的距离，或者存在专业技能的限制，往往无法控制受托人的责任履行过程和报告的质量，必须借助第三方实现这种控制。在隐私保护审计中，审计师接受委托，按照委托人的要求对受托人受托隐私保护责任的履行状况和隐私保护的报告进行鉴证。鉴于此，我们认为，隐私保护审计的本质目标是确保受托隐私保护责任全面有效地履行。 2.具体目标。为了确保受托隐私保护责任全面有效地履行，审计师必须对具体目标实施控制才能最终实现。具体的控制目标包括隐私政策的适当性、组织行为的遵循性和隐私报告的公允性。 (1)隐私政策的适当性。对于一个组织而言，为了保护隐私，首先应当建立隐私保护政策，作为组织的一项制度，所有的业务部门及人员必须遵守。世界上许多国家制定了与隐私保护有关的法律法规，我国1986年的《民法通则》、1996年的《律师法》和1983年的《统计法》对相关的个人秘密、信息等隐私进行保护，2001年最高人民法院在《关于确定民事侵权精神损害赔偿责任若干问题的解释》中明文把隐私权作为一项独立的人格权来予以保护。因此，组织建立的隐私政策必须与法律法规相一致，不得违背相关法律法规的规定。此外，组织建立的隐私保护政策必须具有可行性，不具有可行性的隐私保护政策仅仅是一纸空文。组织还应建立与隐私保护相关的内部控制制度，例如对于非授权的工作人员不得让其接触隐私记录，记录隐私信息的纸质文档和电子文档必须妥善保管，避免丢失或被恶意出售。 (2)组织行为的遵循性。组织行为的遵循性包括对隐私保护相关法律法规的遵循和对组织制定的隐私保护政策和标准的遵循，如果组织没有按照既定的隐私政策和标准执行隐私保护措施，再好的政策和标准也无法发挥作用。例如，根据1999年美国《金融现代化法案》，金融机构必须每年都以书面或电子文档的形式清楚明确地告知消费者有关其向联营机构和非联营第三方披露非公开个人信息的具体政策和程序，如果金融机构在没有接到授权的情况下，擅自向第三方公开了私人信息，属于组织行为缺乏遵循性。因此，隐私保护审计的鉴证必须通过控制测试和实质性测试检查组织是否违背既定的法律法规和隐私保护政策以及制度。 (3)隐私报告的公允性。隐私报告是一个广义的概念，包括组织的隐私声明、隐私条款等，而非绝对意义上的财务报告的形式。组织应当公布其获取隐私的类型、客户对于退出或者拒绝隐私披露的权利、采取的隐私保护措施以及隐私政策变更的说明等，公布的内容可以是公告的形式，也可以是隐私条款以及向客户邮寄的隐私声明等。对于这些隐私报告，隐私保护审计应当对其公允性进行审核。 三、隐私保护审计的对象 审计对象是审计保护的客体，对隐私保护审计而言，其审计对象主要包括与隐私相关的资料、内部控制措施以及计算机信息系统。 1.与隐私相关的书面与电子资料。在进行隐私保护审计时，应当对隐私记录的完整性进行审查，这些记录可能以纸质形式存在，也可能是通过网络的方式存储在服务器的磁性介质中，其主要包括客户填写的表单中有关姓名、性别、年龄、证件号码、家庭和单位地址、电话号码和银行卡卡号等，以及本单位职工的个人信息，还包括隐私保护报告。对隐私记录的完整性进行审查时，并非检查各项隐私记录的内容是否完整，而是检查是否存在丢失的客户隐私记录。
