解讀《小型個人信息處理者個人信息保護簡化措施規定（徵求意見稿）》（中國大陸）

2026年4月3日，國家互聯網信息辦公室發布《小型個人信息處理者個人信息保護簡化措施規定（徵求意見稿）》（下稱“《規定》”）。《規定》是《中華人民共和國個人信息保護法》第六十二條授權制定的配套規則，標志著我國個人信息保護監管從“一刀切”邁向以處理規模為基準的精細化治理。本文就《規定》的重點條款解讀如下：

一、明確適用範圍

《規定》第二條明確，“處理不滿10萬人個人信息的個人信息處理者”適用《規定》所規範的簡化規則。此處提請注意的是，判斷標準並非員工數或註冊資本，而在於實際處理過多少人的信息。

二、告知與同意義務的實質性簡化

路徑一：公示替代告知（第六條）。 對於為提供產品或服務所必需的非敏感個人信息，且不向其他個人信息處理者提供且不對外公開個人信息的，可僅公開處理規則以履行告知義務。

路徑二：行為推定同意（第七條）。 個人主動提供獲取產品或服務所必需的個人信息，處理者已公開規則並履行告知義務的，即可按公開規則處理。

路徑三：平臺統一合規（第八條）。 僅通過網絡平臺處理個人信息、不向平臺外提供、平臺已制定發布個人信息處理規則並履行告知義務的，小型個人信息處理者可不重複制定規則和告知；平臺已開展個人信息保護合規審計和影響評估的，小型個人信息處理者可不再重複開展。

三、敏感個人信息處理：簡化但有風險邊界

《規定》第十條規定，小型個人信息處理者可在處理規則中一次性告知敏感信息處理的必要性及影響；個人知情下主動配合提供人臉等敏感信息的，小型個人信息處理者即可按已告知的目的方式處理。

四、影響評估與合規審計：簡易但不免除

《規定》第十五條至第十九條明確，影響評估和合規審計義務未免除，但程序大幅簡化。小型個人信息處理者仍須依照《個人信息保護法》第五十五條規定開展個人信息保護影響評估，但允許使用本《規定》附件《小型個人信息處理者個人信息保護影響評估表》的簡便方式開展影響評估，影響評估表保存至少3年。當處理目的、方式等發生實質變化時，須重新評估。個人信息保護合規審計頻率放寬至至少每5年一次，可採用本規定附件《小型個人信息處理者個人信息保護合規審計自查表》的簡便方式進行合規審計。此外，通過個人信息保護認證的，有效期內免予審計。

五、跨境數據流動

《規定》第十一條是對小型個人處理者數據出境合規的重大減負，豁免特定場景下的出境安全評估、標準合同、個人信息保護認證等硬性要求。本條明確，處理不滿10萬人信息（不含敏感個人信息）的小型主體，在跨境合同履行（購物、寄遞、支付、簽證等）、跨境人力資源管理、緊急避險、履行法定職責或義務，以及年度向境外提供不滿10萬人個人信息且不含敏感信息等情形下，可直接將個人信息出境，無需履行常規出境審批流程。

綜上，雖然本《規定》尚未正式實施，仍提請相關企業注意相關簡化規則，並理解簡化程序並非完全豁免個人信息保護的法定義務。另建議企業全程留存合規台帳，切實守住個人信息保護法律底線，以防範行政處罰及民事侵權賠償法律風險。