小型个人信息处理者减负新规正式出台

2026年4月3日，国家网信办发布《小型个人信息处理者个人信息保护简化措施规定（征求意见稿）》¹（以下简称“《征求意见稿》”）公开征求意见；三个半月后，国家网信办与公安部于2026年7月24日联合发布《小型个人信息处理者个人信息保护简化措施规定》（以下简称“《规定》”），自2026年9月1日起施行。 

 《规定》的出台，表明我国个人信息保护监管从“一刀切”的统一规制，迈向以数据处理规模为基准的精细化治理阶段，为小型个人信息处理者简化合规流程、减轻合规压力。相较于《征求意见稿》，《规定》在多处做出重要调整，尤其是对敏感个人信息处理的同意机制、依托平台豁免条件以及未成年人保护等方面进行了更严格的规范，体现了监管机关在广泛听取意见后对涉及个人权益保护的重点事项的重视。

一、 重点要求简析

1. 小型个人信息处理者的总体要求

《规定》适用于在中国境内处理不满10万人个人信息的个人信息处理者。针对“10万人”的计数方式，《<小型个人信息处理者个人信息保护简化措施规定>答记者问》²明确：按照个人信息处理者当前处理个人信息涉及的自然人数量进行累计统计，不包含10万人本数，不包括已经删除的个人信息。

值得注意的是，《规定》旨在为小型个人信息处理者提供合规简化措施，而非完全豁免其个人信息保护义务。对于《个人信息保护法》中确立的核心义务，如合法性基础，以及合法性、正当性、必要性等基本原则，仍须严格遵循强制性要求。此外，个人信息保护影响评估、合规审计等法定义务并未免除，仅对相关程序的复杂度进行了适度调整。

2. 个人信息处理规则的简化

《规定》对小型个人信息处理者所需制定的个人信息处理规则作出了简化规定。具体而言，

(1) 小型个人信息处理者仅需公开个人信息主体行权受理部门或人员及联系方式，无需再公布完整行权方式；

(2) 线下可通过在经营场所醒目位置张贴公告公开，线上则可通过服务协议、客户端弹窗和网站公告等方式公开。

不过，《规定》明确，处理不满十四周岁的未成年人个人信息的，应制定专门的个人信息处理规则。该要求在《征求意见稿》中并未出现，系正式出台时监管机关强化未成年人保护的新增内容，涉及未成年人数据的企业应予重点关注。

《征求意见稿》允许园区、产业基地、商业物业等服务管理单位统一制定并公开个人信息处理规则，《规定》进一步要求规则应当在“显著位置”公开。对于依托网络平台的小型个人信息处理者，《规定》收紧了《征求意见稿》中的豁免条件：不仅要求声明遵守平台规则，还要求网络平台须已针对小型个人信息处理者活动制定专项规则并与其约定各自权利义务；小型处理者的处理目的、方式和种类不得超出平台规则载明的范围，一旦超出须另行制定规则并独立履行告知、合规审计和影响评估义务。相比《征求意见稿》的宽松条件，此次收紧体现了监管机关对平台豁免路径的更严格把控。实践中，在网络平台经营的企业应重新审查自身是否仅通过网络平台开展个人信息处理活动，亦或是使用独立的支付、物流、客服供应商等，如存在超出平台规则范围的处理活动，则应及时补充合规措施。

3. 小型个人信息处理者义务简化

告知义务简化：《规定》第六条规定小型个人信息处理者若处理的是提供服务所必需的非敏感个人信息，且不向第三方提供或公开，仅需在处理规则中明示并公开即完成告知。《规定》强调了显著提示要求，即个人信息处理规则须通过“加粗字体、放大字号、标记不同颜色”等方式向用户显著提示，并便于查阅和保存。

获取同意的方式简化：《规定》第七条明确，当个人“在充分知情的前提下自愿、主动”向小型个人信息处理者提供获取产品或服务所必需的个人信息时，处理者即可依已公开的规则处理其个人信息。《规定》在表述上较《征求意见稿》更为严格，将“主动提供”的前提限定为“充分知情前提下自愿、主动”，对“以公示代替同意”的适用边界作出了更审慎的界定。

处理敏感个人信息的规定：此处是《规定》与《征求意见稿》之间最重要的实质性变化。《征求意见稿》第十条原本建立了一种同意推定机制，即个人在知情情况下主动配合提供人脸信息、生物样本等敏感个人信息的，处理者即可按已告知规则处理，实质上以主动配合行为替代了单独同意。但《规定》第七条未采用这一机制，而是重述了《个人信息保护法》关于敏感个人信息处理的具体要求，即：为特定目的处理敏感个人信息的，“应当在个人信息处理规则中告知处理敏感个人信息的必要性以及对个人权益的影响，取得个人的单独同意”。这也表明监管机关认为基于敏感个人信息的高风险属性对处理该等信息告知同意要求的强调，即：单独同意的要求即便在简化措施框架下仍须得到完整遵守。

个人信息跨境传输的简化：《规定》第十条列明了六种免予申报安全评估、订立标准合同、通过认证的情形，与《促进和规范数据跨境流动规定》和《网络数据安全管理条例》中的规定保持一致。《规定》也在《征求意见稿》的基础上，特别补充说明，即便符合上述豁免情形，小型个人信息处理者仍须履行告知、取得单独同意等法律义务。此外，小型处理者依法申请数据出境安全评估的，可由所在地省级网信部门形成评估结论建议后再报国家网信办核准，在程序上提供了一定便利。

合规审计与影响评估的简化：《规定》以附件形式提供了《小型个人信息处理者个人信息保护合规审计自查表》、《小型个人信息处理者个人信息保护影响评估表》，为小型个人信息处理者提供更易落地的工具。合规审计频率为至少每五年一次，允许自查。法律、行政法规对处理未成年人个人信息的合规审计另有规定的，从其规定。依托平台且平台已开展合规审计和影响评估并覆盖小型处理者活动的，小型处理者可免于重复开展；通过个人信息保护认证的，在认证有效期内可免于开展合规审计。

制度与管理的简化：《规定》第十五条允许小型个人信息处理者通过在组织管理文件中明确个人信息保护内部管理要求和安全事件应急处置要求等简便方式建立相关制度。《规定》第十六条允许在客观条件限制下，仅通过张贴公告、客户端弹窗或网站公告等简便方式将安全事件通知个人。此外，《规定》第十二条新增了小型处理者停止产品或服务时的主动义务，须先“采取必要措施删除个人信息”，仅在确无能力时方可向主管部门请求帮助或报告市级网信办。

4. 罚则与监督

《规定》针对小型个人信息处理者设置了差异化的执法包容机制，并辅以约谈、提示函等柔性监管手段。《规定》列举了三项应当不予处罚的情形以及五项应当从轻或减轻处罚的情形。与《征求意见稿》相比，《规定》对应当不予处罚情形作出了重要调整：一是新增了“有证据足以证明没有主观过错”的不予处罚情形；二是将“初次违法且危害后果轻微并及时改正”情形的法律效果从“不予处罚”调整为“可以不予处罚”，保留了执法机关的自由裁量空间。

在监督管理层面，《规定》新增的第二十一条明确网信部门、公安机关以及相关部门可采取抽查评估、审计报告等方式对小型个人信息处理者履行个人信息保护义务的情况进行监督。同时新增了信用约束机制，对违法处理个人信息、多次发生个人信息安全事件的小型个人信息处理者，将依法记入信用档案并予以公示。

二、 实务影响和建议

1. 自我评估适用资格并实施动态管理

《规定》设定了明确的适用门槛，即处理个人信息不满10万人（按当前处理涉及的自然人累计统计，不含已删除数据）。一旦企业处理的数据量突破该阈值，此前依据简化措施搭建的合规体系便需同步调整与升级。因此，企业需盘点个人信息处理规模，评估自身是否符合小型个人信息处理者的适用范围；同时，应建立常态化的动态监测机制，在数据量接近阈值时提前准备合规升级工作，防范因合规措施不匹配引发的法律风险。

2. 简化义务并非免除义务

《规定》第三条已明确指出，简化措施是在“遵守个人信息保护相关法律、行政法规和国家有关规定基础上”实施的。这意味着，《个人信息保护法》等法律法规中关于处理个人信息的合法性基础要求、最小必要原则等核心义务并未免除，小型个人信息处理者仍需严格遵守。尤其是涉及敏感个人信息处理，《规定》已明确要求取得单独同意，不可再援引“主动配合推定同意”的路径；特别是涉及未成年人个人信息的情形，还需符合相应的审计要求。

3. 一般个人信息处理者仍应严格履行《个人信息保护法》的合规义务

对于不符合“小型个人信息处理者”定义的企业，仍须严格执行《个人信息保护法》及相关规定的合规要求，例如：履行完整的告知义务、获取有效的单独同意、落实个人信息出境合规路径等。合规审计亦应依法执行，考虑到对于“小型个人信息处理者”的审计频率规定为至少五年一次，则处理超过10万人但不超过1000万人的处理者至少不应低于该等频率并参照相关国标规定。

实践中，《规定》将为中小微企业提供较大便利，可能的适用场景例如：科技园区内的小型初创公司使用园区统一的访客登记系统及处理规则，符合一定条件即无需单独制定访客信息处理规则；电商平台、外卖平台上的小型餐饮商家在网络平台已针对小型个人信息处理者制定专项规则、双方已约定权利义务且处理活动未超出规则范围的前提下，符合相关条件的，无需单独履行告知义务。

总的来说，《规定》按处理规模进行分级管理，体现了我国数据治理宽严相济、精准治理的趋势。这照顾到了中小微企业的实际情况，有助于个人信息保护制度更好地长期运行。需要注意的是，与《征求意见稿》相比，《规定》对特定领域和类型的数据处理明确了处理要求。比如：处理敏感个人信息应取得单独同意；依托平台获得豁免的条件更严；线上公开规则必须有显著提示；处理未成年人信息应制定专项规则；停止服务时须主动删除数据等。这些方面也体现出小型个人信息处理者在实践之中应注意的高风险领域，在落地执行时需特别考虑和注意。

我们建议处理个人信息数量较少的企业可以比照《规定》内容建立相应的合规框架，特别是此前仍处于观望或未完成相关合规体系搭建和落地工作的企业，应尽快采取相关的合规举措、完成个人信息保护合规措施的落地。

1.  参见：https://www.cac.gov.cn/2026-07/24/c_1786638889576451.htm

2.  参见：https://www.cac.gov.cn/2026-07/24/c_1786638889576451.htm

声 明

《君合法律评论》所刊登的文章仅代表作者本人观点，不得视为君合律师事务所或其律师出具的正式法律意见或建议。如需转载或引用该等文章的任何内容，请注明出处。未经本所书面同意，不得转载或使用该等文章中包含的任何图片或影像。如您有意就相关议题进一步交流或探讨，欢迎与本所联系。