观点 | 化繁为简，合规减负——《小型个人信息处理者个人信息保护简化措施规定》解读|审计|小型个人信息处理者个人信息保护简化措施规定

来源：市场资讯

（来源：金诚同达）

作者 | 周琪

引言

2026年7月22日，国家网信办、公安部联合发布《小型个人信息处理者个人信息保护简化措施规定》（以下简称“新规”），自2026年9月1日起施行。新规共22条，并附《小型个人信息处理者个人信息保护合规审计自查表》和《小型个人信息处理者个人信息保护影响评估表》，是我国首部专门针对小型个人信息处理者制定的部门规章。

新规根据处理规模、业务复杂程度和实际合规能力，允许小型个人信息处理者以更简便的方式履行部分法定义务。简单来说，是在个人信息保护方面给中小微企业减负。

01.

谁是“小型个人信息处理者”

根据新规第2条，个人信息处理数量为唯一的量化标准——处理不满10万人个人信息的个人信息处理者，属于小型个人信息处理者。需要注意的是：

判断标准不是企业规模。小微企业如果拥有大量注册用户，处理人数达到或者超过10万人，不能适用新规；大型企业如果实际处理人数不足10万人，也属于小型个人信息处理者。
统计的是自然人数量，而不是数据条数。同一自然人在客户系统、售后系统和营销系统中留下多条记录，原则上不应简单重复累计。
统计的是当前处理个人信息涉及的自然人数量，已经删除的个人信息不计入。企业过去累计服务过多少客户，并不当然等于当前处理人数。但对于人员流动较快、数据持续新增和删除的业务，适用资格可能动态变化。

建议接近10万人门槛的企业设置预警机制，一旦达到10万人门槛，应及时切换至一般个人信息处理者的合规要求。

02.

简化个人信息处理规则

根据新规第4条，小型个人信息处理者仍应当公开个人信息处理规则（实践中通常体现为隐私政策等文件），但内容可以适当简化，至少包括：

处理者的名称或者姓名；
个人行使权利的受理部门或者人员，及联系方式；
处理目的、处理方式、个人信息种类及保存期限等。

小型个人信息处理者处理不满十四周岁未成年人个人信息的，仍应当制定专门的个人信息处理规则。

此外，线下经营者可以在经营场所醒目位置张贴公告展示处理规则；线上经营者可以通过服务协议、客户端弹窗或者网站公告等方式公开处理规则。

这一安排对餐饮门店、美容机构、培训机构、零售商户等线下经营者具有实际意义——不必照搬互联网平台动辄数千字的隐私政策，但仍需在处理规则中说清楚收集什么个人信息、为什么收集、保存多久、用户如何行权。

根据新规第5条，园区、产业基地、商业物业等服务管理单位还可以为范围内开展相同线下业务的经营者统一制定个人信息处理规则并在显著位置公开。商户同意遵守且被列入统一规则后，可以不再单独制定处理规则。不过，该统一规则可能只适合处理场景基本相同的商户。某一商户如果额外收集人脸信息、会员消费记录、健康信息、自行开展精准营销，或者实施统一规则未告知的处理活动，可能仍应针对超出部分的个人信息处理活动单独设置处理规则并公开。

03.

简化告知和同意流程

根据新规第6条，小型个人信息处理者同时满足以下条件时，可以仅通过公开个人信息处理规则履行告知义务：

处理的是提供产品或者服务所必需的非敏感个人信息；以及
不向其他个人信息处理者提供，也不对外公开，并在规则中明确说明。

在此基础上，根据新规第7条，个人在充分知情的情况下，为获取产品或者服务，自愿、主动提供所必需的个人信息，处理者即可按照已公开的规则处理。这意味着，在符合上述条件的场景中，经营者不必机械设置多层弹窗、逐项勾选或者单独签署同意文件。

需要注意的是，新规并非简单放宽同意要求，而是将低风险、封闭场景下的合规重点，从“是否明确同意”转向“处理是否确有必要、告知是否充分”。这意味着，小型个人信息处理者可以减少弹窗、勾选和纸质授权等形式化流程，但同时需要将处理活动控制在低风险、有限的场景内。

04.

网络平台内经营者的简化措施

新规第8条为依托网络平台（例如电商平台、微信平台）经营的小型个人信息处理者提供了更大幅度的简化措施。同时符合下列条件的小型个人信息处理者，可以不再制定个人信息处理规则、履行告知义务：

仅通过网络平台开展个人信息处理活动，且不向网络平台外的其他个人信息处理者提供；
网络平台已针对小型个人信息处理者的个人信息处理活动，制定发布了相应的个人信息处理规则，并与小型个人信息处理者约定了各自的权利和义务；
声明遵守网络平台制定的个人信息处理规则，且处理个人信息为提供产品或者服务所必需，未超出前述规则载明的处理目的、处理方式和个人信息种类范围。

如果网络平台开展的个人信息保护合规审计和个人信息保护影响评估已经覆盖该经营者的处理活动，经营者也可以不再重复开展。

这一安排的基本逻辑，是允许平台通过统一规则为平台内小型经营者提供一套共同的合规基准。如果平台内经营者的个人信息处理活动能够被平台规则覆盖，即可适用该简化措施。

上述条件中的“平台外的其他个人信息处理者”，可理解为平台及平台内经营者之外，能够自主决定个人信息处理目的、处理方式的其他主体，例如关联公司、品牌方、外部营销机构或者其他合作伙伴。经营者将客户信息交由上述主体用于其自行决定的营销、分析或者会员运营，通常属于向平台外的其他个人信息处理者提供个人信息，此时简化措施将不能适用。

另外，即使不存在向独立第三方共享，经营者将订单信息导入自有CRM系统、在平台外建立会员系统，或者通过其他工具自行沉淀客户数据，也可能无法继续适用第8条的整体简化安排。例如，电商商户仅在平台内查看订单并完成履约，相关处理通常仍处于平台规则覆盖范围内；但如果商户导出订单信息开展私域运营，将客户手机号交给外部营销公司，或者将客户数据同步至关联公司的会员系统，其处理活动便可能超出平台规则覆盖范围。此时，商户应当至少就超出部分自行履行告知、制定处理规则，并视具体场景开展个人信息保护影响评估等合规工作。

05.

简化合并、分立等场景下的告知方式

根据新规第9条，因合并、分立、解散或者被宣告破产等原因转移个人信息的，小型个人信息处理者可以通过经营场所公告、短信提醒、客户端弹窗、经营者页面公告或者小程序公告等方式，告知接收方名称及联系方式。相关事项应当至少提前30个工作日公开，公开时长也不得少于30个工作日。

《个人信息保护法》第22条仅原则性要求处理者在合并、分立、解散、被宣告破产等场景下向个人告知接收方的名称或者姓名和联系方式，并未明确规定方式和期限。新规针对小型个人信息处理者补充了公告、短信、客户端弹窗等简便方式，同时规定至少提前30个工作日发布、公开时长不少于30个工作日，使企业在上述场景下可以通过统一公告完成告知，无需逐一联系全部个人。

不过，新规简化的只是告知形式，并未降低个人信息转移的实体要求。根据《个人信息保护法》第22条，接收方仍应继续履行原个人信息处理者的义务；如接收方拟改变原有处理目的或者处理方式，仍需依法重新取得个人同意。

值得注意的是，新规增加的“提前30个工作日”要求，实际上也提高了交易和清算项目的时间管理要求。企业应在交割、业务移转或者注销前预留告知期，并在交易文件中明确接收方承继个人信息保护义务、维持原处理目的和方式，以及配合处理个人权利请求等责任。

06.

调整数据出境安全评估程序

新规第10条列明了六类免予申报数据出境安全评估、订立个人信息出境标准合同或者通过个人信息保护认证的情形，包括履行个人作为一方当事人的合同、跨境人力资源管理、紧急保护生命财产安全、履行法定职责或者法定义务，以及非关键信息基础设施运营者当年累计向境外提供不满10万人非敏感个人信息等。

上述豁免情形总体上承接了《促进和规范数据跨境流动规定》《网络数据安全管理条例》等既有规则，并未针对小型个人信息处理者进一步降低门槛。

新规带来的新变化是——第10.4条提到：小型个人信息处理者确需向中华人民共和国境外提供个人信息，依法向网信部门申请数据出境安全评估的，可以由所在地省级网信部门形成评估结论建议并报国家网信部门核准。

根据《数据出境安全评估办法》，一般程序下，省级网信部门主要负责申报材料的完备性查验，材料齐全后报送国家网信办，由国家网信办决定受理并组织安全评估。相较而言，新规允许所在地省级网信部门先行形成评估结论建议，再报国家网信办核准，调整了安全评估的审查分工，可能在一定程度上提高评估效率。

07.

简化个保合规审计和影响评估要求

新规第13条允许小型个人信息处理者使用附件中的自查表开展个人信息保护合规审计，至少每五年开展一次，并将自查表保存至少五年。根据新规第17条，通过个人信息保护认证的，在认证有效期内可以免予开展合规审计。

现行《个人信息保护合规审计管理办法》要求处理超过1000万人个人信息的处理者每两年至少开展一次审计，同时保留监管部门在存在较大风险或者发生重大安全事件时要求委托专业机构审计的权力。与之相比，新规不仅明确了每五年至少一次的较低频率，还允许通过填写简化自查表完成，显著降低了小型个人信息处理者的审计成本。

但这一简化措施不适用于未成年人个人信息保护合规审计。根据《未成年人网络保护条例》第37条，处理未成年人个人信息的处理者仍应当每年开展合规审计，并将审计情况报告网信等部门。因此，教育培训、儿童产品、网络游戏、社交平台等可能处理未成年人个人信息的小型个人信息处理者，不能直接适用“五年一次”的审计频率。至于能否使用新规附件中的简化自查表完成未成年人个人信息保护合规审计，条文并未完全明确，但笔者注意到自查表中的审计事项已涉及未成年人个人信息处理的合规性。

另外，根据新规第14条，个人信息保护影响评估也可以使用附件中的简化评估表，相关记录至少保存三年。与此前被广泛用作参考的推荐性国家标准《信息安全技术个人信息安全影响评估指南（GB/T 39335-2020）》相比，新规提供的评估表更为简明且易于操作。

08.

简化个人信息安全事件通知方式

根据新规第16条，发生或者可能发生个人信息泄露、篡改、丢失时，小型个人信息处理者仍应立即采取补救措施，并依法通知个人和履行个人信息保护职责的部门；涉嫌犯罪的，还应及时向公安机关报案。确因客观条件限制无法通过其他方式通知个人的，可以通过经营场所公告、客户端弹窗或者网站公告等简便方式完成通知。

与《个人信息保护法》第57条相比，新规并未降低安全事件的响应标准，也未设置事件规模或者影响人数门槛。《个人信息保护法》第57条关于通知内容以及采取措施能够有效避免危害时可以不通知个人的规则，仍然适用。

新规的简化主要体现在通知渠道。对于用户联系方式缺失、失效或者因其他客观原因确实难以逐一联系个人的小型个人信息处理者，允许以公告方式替代逐一通知。但“客观条件限制”不宜作宽泛理解，仅因逐一通知成本较高或者操作不便，通常不足以直接采用公告。企业应保留无法逐一通知的原因、公告内容、发布时间和补救措施等记录，以证明其已合理履行通知义务。

09.

设置容错机制

新规第18条和第19条为小型个人信息处理者设置了容错机制：违法行为轻微、及时改正且未造成危害后果，或者处理者能够证明不存在主观过错的，应当不予处罚；初次违法、危害后果轻微并及时改正的，可以不予处罚；主动消除或者减轻危害后果、主动供述监管部门尚未掌握的违法行为，在安全事件发生后及时通知个人和采取补救措施并主动报告有关部门，或者配合监管部门查处违法行为有立功表现的，则应当从轻或者减轻处罚。

需要注意的是，容错并不等于免责。即使未被行政处罚，企业仍可能被约谈、责令整改，或者承担赔偿损失等责任。新规给予小型个人信息处理者的是针对轻微违法和善意失误的纠错空间，而不是普遍的“首违不罚”。企业能否获得不予处罚或者从轻、减轻处理，仍取决于其日常合规基础以及发现问题后的整改和报告情况。

小结