场景
苏州工业园区一家做智能硬件的公司，去年被监管部门抽查数据合规。老板姓周，平时觉得“我们又没卖数据，怕什么”，结果检查人员坐下来第一句话就问：你们收集用户信息时，告知同意的记录在哪？周老板让技术翻后台，发现隐私政策改过三版，旧版本没留档，用户勾选同意的日志只存了六个月就自动清理。再问数据出境情况，公司说“只是用了境外云服务”，但拿不出任何安全评估或标准合同的材料。最后检查没当场定性，但要求限期提交整改说明和佐证材料。周老板这才急了，找到律师问：合规审计到底要准备哪些证据，总不能临时补吧？
这个场景在苏州不算少见。很多企业把合规理解成“写个制度挂墙上”，真到审计或者纠纷时，才发现手里没有能拿得出手的东西。
法律规定
合规审计要准备的证据，本质上是证明你履行了法定义务的材料。条文散在几部法里，挑关键的说。
《个人信息保护法》第51条要求处理者采取措施确保处理活动合规，包括制定内部管理制度、分类管理、加密去标识化、权限管理、培训、应急预案等。这些措施不是嘴上说说，得有记录。第55条规定的个人信息保护影响评估，第56条要求评估报告和处理情况记录至少保存三年。第17条要求告知义务，第14条要求同意由个人自愿明确作出，第13条列了处理的合法性基础。换句话说，你得能证明“我告诉过用户”“用户同意过”“同意是有效的”。
数据出境方面，第38条、第39条涉及跨境提供的条件和对个人的单独同意，第21条、第23条涉及委托处理和对外提供时的告知与同意。数据安全法第27条要求建立全流程数据安全管理制度、组织培训，第29条要求风险监测和补救，第30条要求重要数据处理者定期风险评估并提交报告。网络安全法第21条要求等级保护制度落实，第41条、第42条涉及收集使用规则和不得泄露。
生成式AI相关的，《生成式人工智能服务管理暂行办法》第7条、第9条涉及训练数据来源合法、标注规则、服务协议，第11条要求对生成内容进行标识，第14条、第15条涉及违法内容处置和配合监督检查。这些在苏州做AI产品的公司尤其要留意。
法院实务怎么判
苏州法院审理涉数据、个人信息纠纷时，普遍看重“过程留痕”。从公开裁判文书的常见思路看，法院不会只看你有没有制度文本，而是看制度有没有落地、有没有对应的执行记录。
第一类常被追问的是同意证据。用户勾选记录、弹窗截图、隐私政策版本存档、授权时间戳，这些能形成链条的，法院通常更愿意采信。只拿出一份现行隐私政策，说“我们一直这么告知的”，往往不够。
第二类是被处理者权利响应记录。个人要求查阅、复制、更正、删除时，你有没有在合理期限内回应，有没有留工单。个人信息保护法第44条到第47条、第50条讲的就是这些。法院通常会结合响应时间、处理方式判断企业是否尽到义务。
第三类是安全措施证据。日志留存、权限分配表、加密措施说明、员工保密协议、培训签到，这些属于“你做了什么”的证明。数据安全法第27条、网络安全法第21条都指向这类材料。
第四类是出境和对外提供的材料。安全评估申报、标准合同备案、单独同意记录，缺一环就容易说不清。法院一般会看链条是否完整，个案差异较大，不能一概而论。
边界与例外
也不是所有材料都得堆成山。个人信息保护法第13条列了几种无需取得同意的情形，比如履行法定职责或义务所必需、应对突发公共卫生事件等。第6条强调最小必要，收集范围和处理目的要匹配，过度收集反而会成为审计中的减分项。
另外，第4条界定个人信息时，去标识化、匿名化处理后的信息规则不同。真做到匿名化、无法复原的，不属于个人信息，但企业得能证明匿名化处理的有效性，不能自己说匿了就匿了。
还有一类边界是“已经发生的整改”。如果审计前发现问题并主动补救，保留整改方案、完成记录、内部通报，这些在监管和司法环节通常会被作为态度和行动的参考，但不等于免于处理。个案怎么认定，还是要看具体事实。
普通人能怎么做
如果你是企业负责人或者法务，别等审计通知来了才翻箱倒柜。平时就按“能证明”的标准攒材料：隐私政策每个版本存档，用户同意日志定期备份并明确保存期限，个人信息保护影响评估报告按项目归档，员工培训签到和考核记录留着，数据出境路径的申报或备案文件单独建目录。
个人用户这边，遇到App或平台收集信息，留意它有没有清晰告知、有没有给你撤回同意的入口。发现异常收集，可以要求查阅复制，保留沟通记录。真走到投诉或诉讼，这些记录就是你的证据。
律师温馨提示
董坤律师在苏州执业，处理过数据合规审计应对、个人信息保护影响评估以及涉数据纠纷的案件，对本地监管关注点和法院审理思路比较熟悉。这类事情最怕临时抱佛脚，证据准备是日常功夫，不是审计前突击能补出来的。如果你正在准备合规审计或者拿不准手里的材料够不够，可以带着现有文档来聊聊，先把缺口理清楚，再决定补什么、怎么补。