观韬解读|个人信息保护“减负令”的制度逻辑与落地路径——解读《小型个人信息处理者个人信息保护简化措施规定》

作者：王渝伟 罗文涛

前言

2026年7月22日，国家互联网信息办公室与公安部联合公布《小型个人信息处理者个人信息保护简化措施规定》（国家互联网信息办公室、公安部令第25号，以下简称《规定》），自2026年9月1日起施行。《规定》是《中华人民共和国个人信息保护法》（以下简称《个保法》）第六十二条“国家网信部门统筹协调有关部门针对小型个人信息处理者制定专门的个人信息保护规则、标准”的直接落地成果，也是我国个人信息保护立法从“统一标准”走向“分级分类、规模适配”的重要一步。对于数量庞大、合规资源有限的中小微企业、个体工商户而言，这部“减负令”将深刻影响其个人信息合规的路径选择。本文以一张“合规简化对照地图”开篇，帮助读者快速把握《规定》的简化全貌，随后展开条款解读，并提出合规落地的行动框架与风险边界。

一、制度背景：为“小而众”的主体寻找差异化合规路径

《个保法》确立了以“告知—同意”为核心、以安全保障义务为底线的统一保护框架，对各类处理者一体适用。然而在实践中，大量中小微企业、个体工商户、初创团队处理个人信息的规模有限、业务场景简单，却需承担与大型平台同构的合规成本——单独制定制度文件、定期开展合规审计与影响评估、履行数据出境申报等，负担与其风险水平明显不匹配。《规定》正是对这种“规模错配”的制度回应：在坚守个人信息安全底线的前提下，以“采取与小型个人信息处理者规模、能力等相当的简化措施”为标准（《规定》第三条），对义务的履行方式作出系统性简化。

二、适用主体：处理不满10万人个人信息的认定与计数口径

根据《规定》第二条，小型个人信息处理者是指“处理不满10万人个人信息”的个人信息处理者。官方答记者问进一步明确了计数口径：不包含10万人本数，按照处理者当前处理个人信息涉及的自然人数量累计统计，不包括已经删除的个人信息。这意味着主体资格的判断以“时点存量”为准，员工信息、客户信息、用户信息等均纳入统计。临界规模的企业应建立动态计数与预警机制，避免因用户增长“失格”后仍沿用简化路径而带来合规风险。

三、简化措施的制度要点

为便于总览，《规定》在八个方面对《个保法》的一般要求作出了差异化安排，可概括为下图：

图1　小型个人信息处理者·合规简化对照地图（依据《规定》绘制）

（一）处理规则：从“完整告知”走向“三要素＋简便公开”

《个保法》第十七条要求处理者以显著方式、清晰易懂的语言，真实、准确、完整地告知处理者信息、处理目的、方式、种类、保存期限及权利行使方式等。《规定》第四条将规则内容精简为三项必备要素：处理者名称或者姓名；个人行使权利的受理部门或者人员及联系方式；处理目的、处理方式、信息种类、保存期限等，并明确了线下张贴公告、线上服务协议、客户端弹窗、网站公告等简便公开方式。对于处理不满十四周岁未成年人个人信息的，仍须制定专门规则（《规定》第四条第三款）。此外，《规定》第五条创设了“园区、产业基地、商业物业统一制定规则”的集体合规机制——园区、产业基地、商业物业等服务管理单位，可以为其服务管理范围内开展相同线下业务的小型个人信息处理者统一制定并在显著位置公开个人信息处理规则，同意遵守统一个人信息处理规则且被列明的处理者，可以不再自行制定规则。

（二）告知与同意：两条简化路径与不可触碰的底线

其一，同时符合《规定》第六条两项条件（处理非敏感个人信息为提供产品或者服务所必需；不向其他个人信息处理者提供且不对外公开个人信息并在规则中明示）的，可以仅通过公开个人信息处理规则履行告知义务，但规则须以加粗字体、放大字号、标记颜色等显著方式提示，并便于查阅和保存。其二，《规定》第七条规定，公开规则并履行告知义务后，个人为获取产品服务自愿、主动向或者主动配合处理者提供必需个人信息的，处理者即可按照公开的规则处理，无需再逐项取得同意——这实质上是将《个保法》第十三条“为订立、履行个人作为一方当事人的合同所必需”这一合法性基础与公开告知相衔接，简化了同意取得流程。必须强调的是，两条路径均不适用于敏感个人信息。处理敏感个人信息的，仍须在规则中告知处理必要性及对个人权益的影响，并取得个人的单独同意（《规定》第七条第二款）。

（三）平台场景：依托平台规则的“免制定、免告知、免重复审计评估”

《规定》第八条针对仅依托网络平台开展处理的小型处理者创设了“搭便车”机制：在处理者仅通过网络平台开展个人信息处理活动，且不向平台外的其他个人信息处理者提供的前提下，平台已针对其处理活动制定发布规则、双方已约定权利义务、处理者声明遵守且处理未超出平台规则范围的，可以不再制定个人信息处理规则、不再履行告知义务。网络平台已开展并覆盖该处理活动的合规审计与影响评估的，处理者亦无需重复开展。一旦处理目的、方式、种类超出平台规则范围，则须回归《规定》要求自行制定规则并履行告知、审计与评估义务，网络平台调整规则的，应当及时通知相关处理者。该机制将合规责任部分前移至平台，体现了“平台治理”与“主体自治”的协同。

（四）信息转移与安全事件：灵活告知方式及其边界

针对合并、分立、解散、被宣告破产等场景下的个人信息转移，《个保法》第二十二条要求告知接收方名称和联系方式。《规定》第九条规定：信息转移时，可以通过经营场所公告、短信提醒等简便方式告知接收方名称或者姓名及联系方式；自主提供线上产品或者服务的，还应当通过客户端弹窗公告等方式告知；依托网络平台提供产品或者服务的，可以通过平台内经营者页面公告、小程序公告等方式告知。同时设置刚性程序要求——至少提前30个工作日公开发布，公开时长不少于30个工作日，以平衡通知效率与个人知情权。个人信息安全事件通知亦有类似安排：《规定》第十六条允许在确因客观条件限制无法以其他方式通知个人时，仅以张贴公告、客户端弹窗、网站公告等方式通知个人；但“立即采取补救措施、按规定通知履行个人信息保护职责的部门、涉嫌犯罪及时向公安机关报案”等底线义务未作任何松动。

（五）数据出境：六类豁免与省级快速通道

《规定》第十条是制度含金量最高的条款之一。符合法定情形的，免予申报数据出境安全评估、订立个人信息标准合同、通过个人信息保护认证，涵盖合同必需型出境（跨境购物、跨境寄递、跨境汇款、跨境支付、跨境开户、机票酒店预订、签证办理、考试服务等）、跨境人力资源管理、紧急情况下保护自然人生命健康和财产安全、履行法定职责或者法定义务、关键信息基础设施运营者以外的处理者自当年1月1日起累计向境外提供不满10万人个人信息（不含敏感个人信息）等六类情形。同时，确需依法申请数据出境安全评估的，可由所在地省级网信部门形成评估结论建议并报国家网信部门核准，形成“省级初审、国家核准”的快速通道。但须注意：豁免仅及于出境合规机制，告知义务、取得单独同意以及重要数据管理义务并不因此免除（《规定》第十条第三款）。

（六）审计与评估：表格化工具、五年周期与认证豁免

《个保法》第五十四条、第五十五条确立了定期合规审计与特定情形影响评估制度。在一般框架下，处理超过1000万人个人信息的处理者每两年至少开展一次审计，其余处理者依规模参照国家标准确定周期。而《规定》第十三条明确，小型处理者可以按照附件《小型个人信息处理者个人信息保护合规审计自查表》（24项）的简便方式，至少每五年开展一次合规审计，并保存自查表至少五年；第十四条规定可以按照附件《小型个人信息处理者个人信息保护影响评估表》开展影响评估并保存至少三年；第十七条进一步规定，通过个人信息保护认证的，认证有效期内免予开展合规审计。附件以表格形式简化了审计和评估的实施与记录方式，显著降低了合规成本。

但法律、行政法规对于处理未成年人个人信息的合规审计另有规定的，从其规定，不能对涉及未成年人信息的业务一概套用五年周期。

（七）内部制度：组织管理文件“并入式”合规

针对《个保法》第五十一条要求的管理制度与安全技术措施，《规定》第十五条允许小型处理者通过在员工手册、公司章程等组织管理文件中明确个人信息保护内部管理要求、个人信息安全事件应急处置要求，即视为建立了个人信息保护管理制度和应急预案，无需单独成文。这一“并入式”安排契合小微主体的治理结构，使制度要求真正嵌入日常经营而非停留于纸面。

（八）执法包容：不予处罚与从轻减轻的制度安排

《规定》第十八条、第十九条作出执法层面的差异化安排：违法行为轻微并及时改正且没有造成危害后果的应当不予处罚；有证据足以证明没有主观过错的，应当不予处罚，但法律、行政法规另有规定的，从其规定；初次违法且危害后果轻微并及时改正的，可以不予处罚；主动消除或者减轻危害后果、主动供述监管部门尚未掌握的违法行为、发生安全事件时及时通知个人并采取补救措施且主动通知有关部门、配合查处违法行为有立功表现等情形的，应当从轻或者减轻处罚。对依法不予处罚的，监管部门视情采取约谈、发送提示函等柔性措施。需要强调的是，上述条款属于执法裁量指引，并未改变《个保法》第六十六条的责任框架——违法处理个人信息、多次发生个人信息安全事件的，仍将依照法律、行政法规予以处理，记入信用档案并予以公示（《规定》第二十一条）。

四、合规落地的行动框架与风险边界

（一）行动框架：从“最小合规包”到“持续合规”

建议小型处理者按表1所列四步推进，将简化措施转化为可核查、可留痕的合规动作：

表1　小型个人信息处理者合规落地四步行动框架

（二）风险边界：四条“不可简化的红线”

以下情形涉及特别保护要求，不适用《规定》的简化安排，处理者应重点防控（见表2）：

表2　不适用简化措施的四类情形

此外，实践中“委托第三方处理”与“向其他处理者提供”的界限，需要依据对个人信息的控制权是否转移审慎判断，避免误用简化路径引发合规风险。

五、结语

《规定》以“规模适配”为方法论，为小型个人信息处理者构建了一条成本更低、路径更清晰的合规通道，也标志着我国个人信息保护监管从“统一标准”迈向“分级分类”的精细化治理阶段。对广大中小微企业而言，合规不是负担的简单叠加，而是通过善用制度工具实现风险可控下的轻装前行。当然，简化措施不等于免除义务——准确识别自身所处的业务场景，守住敏感个人信息与未成年人信息保护的底线，并将审计自查表、影响评估表等简化工具转化为持续的合规能力，才是这部“减负令”真正的落地之道。

注释

[1] 《中华人民共和国个人信息保护法》第六十二条。

[2] 国家互联网信息办公室、公安部《小型个人信息处理者个人信息保护简化措施规定》（2026年9月1日起施行）。

[3] 《个人信息保护合规审计管理办法》（2025年5月1日起施行）第四条：处理超过1000万人个人信息的个人信息处理者，应当每两年至少开展一次个人信息保护合规审计。

[4] 国家互联网信息办公室就《小型个人信息处理者个人信息保护简化措施规定》答记者问（2026年7月24日）。

[5] 《中华人民共和国个人信息保护法》第十三条、第十七条、第二十二条、第五十一条、第五十四条、第五十五条、第六十六条。

【作者简介】

王渝伟，观韬上海办公室合伙人，观韬数字法律与网络合规业委会主任，长期专注于网络安全数据合规业务领域。王渝伟律师在网络安全数据合规领域为金融、医疗、汽车、航空、互联网、房地产、物流、能源、生命健康、智能制造等行业的众多国内外企业提供该领域的法律合规服务。在上百个数据合规项目中，王律师带领团队为行业头部企业及研究机构提供专业服务，完成了一系列具有指导意义的数据合规项目。2020年以来，王律师在TMT和数据保护领域先后获得钱伯斯、Legal500、ALB、商法、亚洲法律商务、LEGALBAND等多个法律专业评级机构的推荐。

Email：wangyw@guantao.com

罗文涛，观韬上海办公室数据合规团队律师助理。毕业于西南政法大学、对外经济贸易大学，法学硕士。

Email：luowt@guantao.com