小型个人信息处理者合规新规之实务解读（中国大陆）

2026年7月22日，国家互联网信息办公室、公安部联合发布《小型个人信息处理者个人信息保护简化措施规定》（下称《规定》），《规定》已于2026年9月1日正式施行，是《个人信息保护法》第六十二条授权下，我国首个针对小微主体个人信息保护的专门配套规则。从实务视角来看，《规定》摒弃“一刀切”监管模式，构建了“程序减负、底线不降、分层容错”的精细化治理体系，既缓解了中小微企业、个体工商户合规成本过高的现实困境，又严守个人信息权益保护红线，为市场主体合规经营提供了清晰指引。

一、主体认定：标准厘定，要件明确

《规定》第二条明确小型个人信息处理者的核心判定标准：处理不满10万名自然人个人信息的处理者，统计口径以当前实际处理信息的自然人数量为准，已删除的个人信息不计入统计，企业注册资本、员工人数、营收规模均不影响主体资格认定。只要存量用户规模未达10万，即可适用简化合规体系。同时《规定》设置例外条款，处理不满十四周岁未成年人个人信息的，不得适用全部简化措施，需严格执行专门个人信息保护规则，落实未成年人信息特殊保护义务。

立法层面采用纯数据规模划分的模式，避免了以企业规模判定带来的监管裁量模糊问题，实务中企业可通过梳理用户台账、统计存量自然人数量，快速判断自身是否适用《规定》，合规边界具备极强的可操作性。

二、告知同意：形式简化，实质不减

告知同意义务是个人信息保护的核心环节，《规定》针对非敏感个人信息设计三条差异化简化路径，大幅降低小微主体文本制作、逐一告知的人力成本。一是公示替代单独告知，处理提供服务必需的非敏感信息，且不向第三方流转、不对外公开的，可通过显著位置公示处理规则完成告知义务；二是行为视为同意，自然人充分知情下主动提交必要信息获取服务的，提交行为可推定同意，无需单独勾选授权；三是平台统一合规，入驻线上平台的商户，依托平台已公示的处理规则开展经营，不向外传输信息的，可豁免单独制定隐私政策、重复开展告知工作。同时《规定》要求公示内容必须以加粗、放大、彩色标注等显著方式呈现，杜绝小字隐匿条款，保障用户知情权。

三、敏感信息：程序简化，划定边界

针对敏感个人信息处理，《规定》第七条收紧简化空间，明确敏感信息不得适用上述简化路径。处理人脸、生物识别、金融、健康等敏感信息时，处理者仅可在规则中告知处理必要性及权益影响，必须单独取得个人明示同意，自然人主动提交敏感信息的行为不能替代法定单独同意义务。该条款延续了《个人信息保护法》的高保护标准，避免小微主体因程序简化忽视高风险信息保护，从源头防范信息泄露、滥用风险。

四、评估审计：流程简化，义务尚存

个人信息保护影响评估与定期合规审计，此前是中小微企业合规的高额成本项。《规定》明确，《个人信息保护法》第五十五条规定的影响评估义务仍然强制适用，但国家网信办配套发布简化评估模板，企业可直接套用标准化表格完成评估，评估记录留存不少于三年，处理目的、方式发生重大变更时需重新评估。合规审计周期由普通主体的年度审计放宽至至少每五年一次，同样配套简易自查表；企业取得个人信息保护合规认证的，认证有效期内可免于审计，进一步压缩长期合规投入。

实务中，不少小微主体缺乏专业法务团队，《规定》以附件形式配套制式表格，大幅降低评估、审计的专业门槛。同时依托平台开展经营的商户，若平台已完成整体评估审计，商户可不再重复开展，实现平台与入驻主体的合规协同。

五、跨境数据传输：五类场景豁免常规审批

针对小微企业跨境经营的合规痛点，《规定》设置跨境数据传输便利化规则。处理人数不满10万、且传输信息不含敏感个人信息的小型处理者，在跨境合同履约、跨境人力资源管理、紧急避险、履行法定义务、关键信息基础设施运营者以外的个人信息处理者年度跨境传输人数不足10万五类场景下，可豁免安全评估、标准合同备案、出境认证三大常规出境审批程序，仅需留存传输台账备查。

实务中提请注意，跨境豁免仅适用于纯非敏感信息，一旦传输内容包含生物信息、金融数据等敏感个人信息，无论规模大小，均必须履行完整出境合规流程。

六、监管容错：差异化处罚机制
《规定》构建了包容审慎的行政处罚体系，落实 “初次轻微违法可容错” 的执法原则。违法行为轻微、及时改正且无危害后果，或企业能证明无主观过错的，应当不予处罚；初次违法、危害后果轻微并及时改正的，监管机关可裁量不予处罚，以约谈、警示函替代行政处罚。该规则契合小微主体合规能力薄弱的现实，避免严苛处罚打击市场活力。

综上，《规定》的落地并非让企业放松数据管理，而是要求小微主体建立轻量化、适配自身规模的合规体系。企业首先应当做好用户数量统计，精准判定主体资格；其次梳理信息处理场景，区分敏感与非敏感信息，单独完善敏感信息同意留存流程；再者用好官方简化模板，规范开展评估审计，完善数据安全应急预案；最后留存全流程合规台账，在享受政策红利的同时，守住个人信息保护的法定底线。