十萬人以下可“簡配合規(guī)”！個(gè)保領(lǐng)域小型處理者專門規(guī)章來了

7月24日，國家網(wǎng)信辦、公安部聯(lián)合公布《小型個(gè)人信息處理者個(gè)人信息保護(hù)簡化措施規(guī)定》（以下簡稱《規(guī)定》），自2026年9月1日起施行。

《規(guī)定》明確，處理不滿10萬人個(gè)人信息的個(gè)人信息處理者為“小型個(gè)人信息處理者”，可以依據(jù)《規(guī)定》采取與其規(guī)模、能力等相當(dāng)?shù)暮喕胧壕€下收集個(gè)人信息的，可以在經(jīng)營場(chǎng)所醒目位置張貼公告公開處理規(guī)則；符合條件的可以僅通過公開個(gè)人信息處理規(guī)則履行告知義務(wù)；合規(guī)審計(jì)可以自查表方式至少每五年開展一次；六類情形下向境外提供個(gè)人信息免予申報(bào)數(shù)據(jù)出境安全評(píng)估、訂立個(gè)人信息出境標(biāo)準(zhǔn)合同或通過個(gè)人信息保護(hù)認(rèn)證。

填補(bǔ)專門規(guī)則空白

我國《個(gè)人信息保護(hù)法》第六十二條規(guī)定，國家網(wǎng)信部門統(tǒng)籌協(xié)調(diào)有關(guān)部門針對(duì)小型個(gè)人信息處理者，制定專門的個(gè)人信息保護(hù)規(guī)則、標(biāo)準(zhǔn)。專家指出，《規(guī)定》正是落實(shí)這一授權(quán)的關(guān)鍵配套規(guī)章，也是我國首部專門針對(duì)小型個(gè)人信息處理者的部門規(guī)章。

國家網(wǎng)信辦有關(guān)負(fù)責(zé)同志表示，制定《規(guī)定》是貫徹落實(shí)《個(gè)人信息保護(hù)法》有關(guān)要求的重要舉措，有利于在堅(jiān)守個(gè)人信息安全底線的同時(shí)，降低小型個(gè)人信息處理者合規(guī)成本，提升其個(gè)人信息保護(hù)水平，為中小微企業(yè)創(chuàng)新發(fā)展提供法治保障。

中國人民大學(xué)法學(xué)院吳玉章高級(jí)講席教授、中國法學(xué)會(huì)網(wǎng)絡(luò)信息法學(xué)研究會(huì)副會(huì)長兼學(xué)術(shù)委員會(huì)主任張新寶撰文指出，全面履行《個(gè)人信息保護(hù)法》第五章規(guī)定的各項(xiàng)義務(wù)，對(duì)具有一定規(guī)模的個(gè)人信息處理者而言是生產(chǎn)經(jīng)營成本所能合理負(fù)擔(dān)的，但對(duì)小型個(gè)人信息處理者而言，需要通過簡化措施進(jìn)行減負(fù)。他表示，《規(guī)定》對(duì)小型個(gè)人信息處理者的界定立足于處理個(gè)人信息的數(shù)量（不滿10萬人個(gè)人信息）而非生產(chǎn)經(jīng)營規(guī)模：有些專門從事信息產(chǎn)業(yè)生產(chǎn)經(jīng)營活動(dòng)的小微企業(yè)，雖然經(jīng)濟(jì)體量較小，但是處理的個(gè)人信息數(shù)量較大，則不屬于小型個(gè)人信息處理者；有些較大的企業(yè)如電子產(chǎn)品代工廠，雖然經(jīng)濟(jì)體量較大但是不處理或者較少處理個(gè)人信息，則屬于小型個(gè)人信息處理者。

“10萬人”如何劃線

《規(guī)定》以“處理不滿10萬人個(gè)人信息”作為核心界定指標(biāo)。國家網(wǎng)信辦有關(guān)負(fù)責(zé)同志回應(yīng)記者提問時(shí)明確，“不滿10萬人”不包含10萬人本數(shù)，按照個(gè)人信息處理者當(dāng)前處理個(gè)人信息涉及的自然人數(shù)量進(jìn)行累計(jì)統(tǒng)計(jì)，不包括已經(jīng)刪除的個(gè)人信息。

國家計(jì)算機(jī)網(wǎng)絡(luò)應(yīng)急技術(shù)處理協(xié)調(diào)中心高級(jí)工程師王暉撰文認(rèn)為，這一標(biāo)準(zhǔn)契合小型個(gè)人信息處理者處理量較小、處理活動(dòng)相對(duì)簡單的特征，參考了國內(nèi)外相關(guān)制度經(jīng)驗(yàn)，使認(rèn)定標(biāo)準(zhǔn)清晰明確、便于執(zhí)行操作，能夠精準(zhǔn)鎖定中小微企業(yè)群體，確保簡化政策真正惠及需要扶持的市場(chǎng)實(shí)體。

清華大學(xué)法學(xué)院教授、中國法學(xué)會(huì)網(wǎng)絡(luò)信息法學(xué)研究會(huì)副會(huì)長申衛(wèi)星撰文表示，實(shí)踐中業(yè)務(wù)范圍較為簡單的小型線下實(shí)體商戶、線上店鋪等通常屬于小型個(gè)人信息處理者。他舉例稱，僅在電商平臺(tái)內(nèi)處理個(gè)人信息的小型網(wǎng)絡(luò)店鋪，符合相關(guān)條件的可以聲明遵守平臺(tái)制定的個(gè)人信息處理規(guī)則，并據(jù)此處理為提供產(chǎn)品或者服務(wù)所必需的個(gè)人信息；小型健身場(chǎng)所在客戶主動(dòng)提供個(gè)人信息預(yù)約課程的情況下，可按照公開的個(gè)人信息處理規(guī)則處理其個(gè)人信息。此舉可以有效減輕小型個(gè)人信息處理者的合規(guī)成本，為相關(guān)經(jīng)濟(jì)社會(huì)活動(dòng)的開展注入新的活力。

“一份規(guī)則”管多家企業(yè)

簡化個(gè)人信息處理規(guī)則的制定和告知方式，是《規(guī)定》的一大著力點(diǎn)。

《規(guī)定》支持園區(qū)、產(chǎn)業(yè)基地、商業(yè)物業(yè)等服務(wù)管理單位，為其服務(wù)管理范圍內(nèi)開展相同線下業(yè)務(wù)的小型個(gè)人信息處理者統(tǒng)一制定并在顯著位置公開個(gè)人信息處理規(guī)則；同意遵守統(tǒng)一規(guī)則且被列明的小型個(gè)人信息處理者，可以不再制定個(gè)人信息處理規(guī)則。對(duì)于僅通過網(wǎng)絡(luò)平臺(tái)開展個(gè)人信息處理活動(dòng)且符合條件的，《規(guī)定》允許其不再制定個(gè)人信息處理規(guī)則、履行告知義務(wù)，平臺(tái)已開展的個(gè)人信息保護(hù)合規(guī)審計(jì)和影響評(píng)估覆蓋其處理活動(dòng)的，也不必重復(fù)開展。

北京航空航天大學(xué)法學(xué)院副教授、院長助理趙精武撰文指出，大量中小微企業(yè)集中于產(chǎn)業(yè)園區(qū)、商業(yè)綜合體，經(jīng)營業(yè)態(tài)相似、信息處理場(chǎng)景趨同，但單獨(dú)制定個(gè)人信息處理規(guī)則既面臨專業(yè)法律文本起草能力不足的現(xiàn)實(shí)困難，也容易因理解偏差導(dǎo)致規(guī)則質(zhì)量參差不齊。“一份規(guī)則管多家企業(yè)”的方式，極大緩解了中小微企業(yè)制定專門法律文本的能力不足，借由服務(wù)管理單位的統(tǒng)籌能力，有效提升了規(guī)則的規(guī)范性和可執(zhí)行性。

在取得個(gè)人同意環(huán)節(jié)，《規(guī)定》明確，小型個(gè)人信息處理者公開個(gè)人信息處理規(guī)則并履行告知義務(wù)后，個(gè)人因獲取產(chǎn)品或者服務(wù)需要，在充分知情的前提下自愿、主動(dòng)向或者自愿、主動(dòng)配合小型個(gè)人信息處理者提供獲取產(chǎn)品或者服務(wù)所必需的個(gè)人信息的，小型個(gè)人信息處理者即可按照公開的個(gè)人信息處理規(guī)則處理其個(gè)人信息。申衛(wèi)星認(rèn)為，這一安排意味著符合條件時(shí)小型個(gè)人信息處理者無需另行取得明示同意，個(gè)人主動(dòng)提供信息的行為已表明其同意意愿，是對(duì)個(gè)人信息處理授權(quán)程序的簡化。

審計(jì)評(píng)估“輕量化”

《規(guī)定》以附件形式提供了《小型個(gè)人信息處理者個(gè)人信息保護(hù)合規(guī)審計(jì)自查表》和《小型個(gè)人信息處理者個(gè)人信息保護(hù)影響評(píng)估表》。按照《規(guī)定》，合規(guī)審計(jì)可以自查表的簡便方式至少每五年開展一次，自查表至少保存五年；影響評(píng)估可按簡化評(píng)估表開展，評(píng)估表至少保存三年。通過個(gè)人信息保護(hù)認(rèn)證的小型個(gè)人信息處理者，在認(rèn)證有效期內(nèi)還可以免予開展個(gè)人信息保護(hù)合規(guī)審計(jì)。

趙精武表示，這些簡化的關(guān)鍵在于將具有相同或相似制度目標(biāo)的義務(wù)進(jìn)行合并，讓小型個(gè)人信息處理者通過一次合規(guī)動(dòng)作盡可能覆蓋同類合規(guī)要求，絕非降低個(gè)人信息保護(hù)標(biāo)準(zhǔn)。

數(shù)據(jù)出境方面，《規(guī)定》列明六類免予申報(bào)數(shù)據(jù)出境安全評(píng)估、訂立個(gè)人信息出境標(biāo)準(zhǔn)合同、通過個(gè)人信息保護(hù)認(rèn)證的情形，覆蓋跨境購物、跨境寄遞、跨境匯款、簽證辦理等訂立履行合同所必需的場(chǎng)景，以及跨境人力資源管理、緊急情況下保護(hù)生命健康財(cái)產(chǎn)安全、履行法定職責(zé)義務(wù)、年度累計(jì)向境外提供不滿10萬人個(gè)人信息（不含敏感個(gè)人信息）等。趙精武指出，《規(guī)定》同時(shí)鼓勵(lì)監(jiān)管部門、數(shù)據(jù)跨境服務(wù)中心為小型個(gè)人信息處理者提供出境咨詢服務(wù)，以外部公共服務(wù)彌補(bǔ)其法律專業(yè)能力短板，確保“豁免但不降低個(gè)人信息出境安全監(jiān)管力度”和“簡化數(shù)據(jù)出境流程但不降低個(gè)人信息安全保護(hù)效果”的雙重治理目標(biāo)。

出品：南都大數(shù)據(jù)研究院

采寫：南都研究員 李偉鋒 實(shí)習(xí)生 王海馨