文章总结： 本文解读未成年人个保合规审计新政，指出监管转向事前预防。明确了处理未成年人信息的主体需每年1月底前报送审计情况，未报送将面临高额罚款。建议企业确保数据一致性，优先审计核心业务与不满14周岁信息环节，可先提交基础表单与承诺书以满足合规底线，逐步建立常态化保护机制。 综合评分： 85 文章分类： 政策法规,数据安全,安全建设

未成年人个保合规审计新政解读：企业年度报送义务全面启动

原创

catfishfighting catfishfighting

透明魔方

2026年2月14日 13:18 上海

马上要放假的时候，甲方拉我们开会，提出今年要给甲方做个培训。甲方的领导指定同事小W想一个培训的主题。他倒是嗅觉很灵敏，翻到了2025年12月29日的报送公告（以下简称公告）。说可以培训这个主题，然后他就甩锅给我，说我很擅长，让我做未成年人个保合规审计培训。

我虽然不爽他当场甩锅，但是培训本就是我的舒适区，也能小小实现自己价值。于是我只是表面白了他一眼，就默认了。

翻了翻这个公告、网上检索了各路“神仙”的解读、微信读书上看了一本《个人信息保护法理解与适用》（程啸著）；又翻阅了《儿童个人信息网络保护规定》、《未成年人网络保护条例》、《未成年人保护法》、《网络安全标准实践指南——个人信息保护合规审计要求》、《个人信息保护合规审计管理办法》等，边角料时间累计大概十几个小时，我总算是能做个PPT雏形了，但这只是20多分钟时间做个快速解读，不是非常深入的分析。

接下来把我的浅见和大家分享。

#

从网上检索得知“本次报送要求是《未保条例》实施以来的首次监管活动”，“2025年6月，工信部发布《未成年人个人信息保护倡议》，此次《公告》的发布是对该倡议的积极响应，预示着监管思路从事后追责向常态化事前预防转变。”

但公告2025年12月29发布，要求每年1月底前报送，我所服务的甲方（事业单位）却并没有任何动作，也没收到任何上级单位要报送的通知。

说明什么？

我同意网上一些法律机构和个体的如下解读：

——兼具合规检查和情况摸底的性质；

——希望企业重视未成年人数据的保护、有能力梳理并识别风险问题、将合规常态化；

目前，我国未成年网民规模已突破1.96亿，互联网普及率达97.3%。这一背景下估计也是监管部门下决心让选择题变成必答题的原因了。

下面我从政策背景—报送主体—相应违法风险—怎么报等方面一一解读（当然，只是我个人的经验浅见）

一、政策背景：四层级法律框架全面构建

我国已形成“法律—行政法规—部门规章—国家标准”四层级的未成年人个人信息保护法律框架。在这个框架形成之前，是一个近10年的历程。

2017.6 《网络安全法》首次以法律的形式提出了个人信息保护的要求

2020  《信息安全技术 个人信息安全规范（GB/T 35273-2020）》首次在我国个人信息保护领域对个人信息控制者提出了“安全审计”的要求；（注意这个是安全审计，不是合规审计）

2021.6 《未成年人保护法》要求信息处理者通过网络处理未成年人个人信息的，应当遵循合法、正当和必要的原则。处理不满十四周岁未成年人个人信息的，应当征得未成年人的父母或者其他监护人同意

2021.11 《个人信息保护法》首次以法律的形式明确了个人信息保护领域中合规审计的法定义务；（这个是合规审计，范围比安全审计广）

2024.1 《未成年人网络保护条例》第37条明确要求个人信息处理者对未成年人个人信息处理进行合规审计，并向网信等部门报告

2025.1 《网络数据安全管理条例》：要求处理不满14周岁未成年人个人信息时制定专门处理规则，并强调获得监护人同意

2025.2  《个人信息保护合规审计管理办法》及附件《个人信息保护合规审计指引》发布

主要来说，我们可以从下面的基础法律层面、行政法规与标准、部门规章等看到一个主要针对未成年人个人信息的保护。

基础法律层面

• 《个人信息保护法》：确立不满14周岁未成年人个人信息为敏感个人信息
• 《未成年人保护法》：确立合法、正当和必要的处理原则

行政法规与标准

• 《未成年人网络保护条例》（2024年1月1日施行）：第37条明确要求个人信息处理者对未成年人个人信息处理进行合规审计，并向网信等部门报告
• 《网络数据安全管理条例》：要求处理不满14周岁未成年人个人信息时制定专门处理规则，并强调获得监护人同意
• 《等级保护标准》：包含个人信息保护技术要求

部门规章

• 《儿童个人信息网络保护规定》：要求网络运营者设置专门的儿童个人信息保护规则和用户协议，指定专人负责

二、谁需要报送？何时报送？

报送主体：处理未成年人个人信息的个人信息处理者（理论上只要有1条未成年人数据就需要报送）

报送时间：每年1月底前报送上一年度未成年人个人信息保护合规审计情况

法律责任：未报送将依照有关法律法规处理。根据《个人信息保护法》第66条，可能面临：

• 警告
• 没收违法所得
• 责令暂停或终止提供服务
• 高达5000万元以下或上一年度营业额5%以下罚款

为什么呢？

因为《未成年人网络保护条例》未直接规定违反该条例第37条（即审计和报送义务）的相关罚则。但《个人信息保护法》第66条规定了处理个人信息未履行法律规定的个人信息保护义务的处罚方式。《个人信息保护法》第54条明确规定了定期审计企业处理的个人信息的义务。未开展审计或未提供审计证明材料（含审计报告）可能被视为“处理个人信息未履行本法（《个人信息保护法》）规定的个人信息保护义务”，受到警告、没收违法所得、责令暂停或终止提供服务，甚至是高达五千万元以下或者上一年度营业额百分之五以下罚款等行政处罚。

所以，还是报吧。

三、怎么报？

提示一：数据一致性

报送材料中未成年人/儿童数量应当与企业对外公布的年报、ESG报告、APP备案、个人信息保护负责人等报送工作中的披露数量保持一致。

提示二：聚焦核心风险

报送不一定要写《审计报告》，可以先把该

（1）年度未成年人个人信息保护合规审计情况表；

（2）承诺书；

（3）其他相关材料扫描件。

这些做出来，最简化的方式报掉。

另外，如果短期内无法全量审计的，优先覆盖：

• 主营业务场景
• 关键信息系统
• 不满14周岁未成年人信息处理环节

说明未覆盖范围及原因，避免遗漏重大合规风险。

总的来说，未成年人个人信息保护合规审计每年1月底前完成报送，既是法律义务，也是企业履行社会责任的体现。监管思路已从事后追责向事前预防转变，建议企业尽早建立常态化合规机制，将未成年人个人信息保护融入日常经营管理的各个环节，既保护未成年人合法权益，也降低企业合规风险。

应该不难，先学习，再从最小化的方式，一步步改进。

不怕苦，不怕难

THE END

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：透明魔方 catfishfighting catfishfighting《未成年人个保合规审计新政解读：企业年度报送义务全面启动》