近日，国家网信办、公安部联合公布《小型个人信息处理者个人信息保护简化措施规定》（以下简称《规定》），自2026年9月1日起施行。国家网信办有关负责人表示，制定《规定》，是贯彻落实党中央决策部署，落实《个人信息保护法》有关要求的重要举措，有利于在坚守个人信息安全底线的同时，降低小型个人信息处理者合规成本，提升小型个人信息处理者个人信息保护水平，为中小微企业创新发展提供法治保障。

（图片由AI生成）

　　划定适用边界，坚持安全底线与减负导向协同并进

　　《规定》所称小型个人信息处理者，是指处理不满10万人个人信息的个人信息处理者。规定支持小型个人信息处理者在遵守个人信息保护相关法律、行政法规和国家有关规定基础上，依据本规定采取与小型个人信息处理者规模、能力等相当的简化措施保障个人信息安全，保护个人信息权益。

　　中国人民大学法学院吴玉章高级讲席教授、中国法学会网络信息法学研究会副会长兼学术委员会主任张新宝表示，个人信息权益保护与合理利用个人信息之间的矛盾是个人信息保护法所要解决的基本问题，十分严格的个人信息权益保护势必影响处理者合理利用个人信息，包括某些个人信息难以被利用以及利用个人信息产生过高的成本（包括合规成本），继而使得个人信息处理者利用个人信息数据的创新能力和经济效益受到限制。

　　“对于小型个人信息处理者而言，其处理个人信息数量少，通常属于业务简单、人员规模和经营规模相对较小的中小企业，技术能力和经营能力相对较弱。对小型个人信息处理者和一般个人信息处理者设定相同的合规操作要求，容易导致小型个人信息处理者的合规负担较重，既不利于促进中小企业的高质量发展，也不利于《个人信息保护法》各项制度在实践中的落地。”清华大学法学院教授、中国法学会网络信息法学研究会副会长申卫星认为。

　　对此，国家计算机网络应急技术处理协调中心高级工程师王晖的理解是，《规定》的出台具有清晰的立法逻辑，核心在于“分类施策、繁简分流”。在统筹发展和安全的框架下，贯彻比例原则与风险导向，根据处理规模、处理活动复杂程度及风险水平实施差异化监管。《规定》既是对《个人信息保护法》相关要求的细化落实，也是通过完善制度供给降低中小微企业合规成本，为中小微企业创新发展营造良好政策环境、激发数字经济市场活力的务实安排。

（图片由AI生成）

　　简化全流程合规，覆盖个人信息处理全生命周期

　　《规定》明确小型个人信息处理者个人信息处理规则应当包括的内容，并提供线下、线上公开个人信息处理规则的简便方式。按照《规定》要求，小型个人信息处理者个人信息处理规则至少应当包括下列内容：（一）小型个人信息处理者名称或者姓名；（二）个人行使权利的受理部门或者人员及联系方式；（三）个人信息的处理目的、处理方式，处理的个人信息种类、保存期限等。

　　小型个人信息处理者线下收集个人信息的，可以通过在经营场所醒目位置张贴公告等简便方式公开个人信息处理规则；线上收集个人信息的，可以通过服务协议、产品服务客户端弹窗和网站公告等方式公开个人信息处理规则。

　　对于公开个人信息处理规则并履行告知义务的小型个人信息处理者，《规定》明确，个人因获取产品或者服务需要，在充分知情的前提下自愿、主动向或者自愿、主动配合小型个人信息处理者提供获取产品或者服务所必需的个人信息的，小型个人信息处理者即可按照公开的个人信息处理规则处理其个人信息；为特定目的处理敏感个人信息的，小型个人信息处理者应当在个人信息处理规则中告知处理敏感个人信息的必要性以及对个人权益的影响，取得个人的单独同意。

　　中国网络空间安全协会副秘书长杜阿宁表示，数字经济时代，沿街商铺、线下商户、中小服务商等小型个人信息处理者广泛开展个人信息处理活动，但普遍面临经营规模小、合规能力弱、专业人员不足、成本承压等现实困难。为兼顾个人信息权益保护与小型个人信息处理者发展，依据《个人信息保护法》《网络数据安全管理条例》等法律法规，出台《规定》针对处理不满10万人个人信息的个人信息处理者，推出差异化、轻量化合规路径，构建“分类监管、简化措施、容错包容、配套支撑”的治理体系。

　　《规定》以附件形式提供了《小型个人信息处理者个人信息保护合规审计自查表》《小型个人信息处理者个人信息保护影响评估表》，小型个人信息处理者可以按照附件的简便方式，开展个人信息保护合规审计和个人信息保护影响评估。个人信息保护合规审计至少每五年开展一次，法律、行政法规对于处理未成年人个人信息的合规审计另有规定的，从其规定。

　　北京航空航天大学法学院副教授、院长助理赵精武认为，《规定》的核心创新表现为设置符合中小微企业业务实践特征的实质合规体系。与聚焦于企业是否制定了隐私政策、开展了评估、实施了审计不同，《规定》更加侧重审视措施的实际效果。正是基于此理念，《规定》为小型个人信息处理者量身设定与自身能力相匹配的简便方式，避免其承担与业务规模、技术水平等客观条件不相称的过高合规成本，折射出宽严相济、安全与发展并重的治理智慧。

　　坚持多元共治，构建包容审慎监管格局

　　对小型个人信息处理者的监督管理，《规定》作出以下要求：一是明确对小型个人信息处理者不予处罚、从轻或者减轻处罚的情形。二是明确支持企业、相关社会组织、专业机构等通过组织培训、讲座、普法活动、咨询辅导等方式，帮助小型个人信息处理者提升个人信息保护能力水平。三是明确鼓励履行个人信息保护职责的部门为小型个人信息处理者提供安全便捷个人信息处理的基础设施、技术工具、咨询服务等，降低小型个人信息处理者合规成本。四是明确网信部门、公安机关和其他履行个人信息保护职责的部门可以采取抽查评估、审计报告等方式对小型个人信息处理者履行个人信息保护义务情况进行监督检查。

　　申卫星表示，《规定》主要从以下五个方面为小型个人信息处理者合理松绑减负：第一，简化个人信息处理的告知方式。第二，简化个人信息处理的授权程序。第三，简化个人信息保护具体制度的操作要求。第四，细化行政处罚减免措施。第五，提出对小型个人信息处理者的支持性举措。

　　鼓励履行个人信息保护职责的部门为小型个人信息处理者提供安全便捷个人信息处理的基础设施、技术工具、咨询服务等，降低小型个人信息处理者合规成本。

　　“需要明确的是，简化措施并不意味着小型个人信息处理者可以免除法律责任。”王晖认为，《规定》始终坚持“简化不等于免责”的底线思维。核心安全义务不可豁免。例如，发生或可能发生个人信息泄露、篡改、丢失等安全事件时，处理者应当立即采取补救措施并按法律、行政法规规定通知个人和履行个人信息保护职责的部门；确因客观条件限制无法通过其他方式通知个人的，方可采取简便方式通知，且涉嫌犯罪的必须及时向公安机关报案。

　　杜阿宁表示，《规定》作为我国首部专门针对小型个人信息处理者的部门规章，填补了小型个人信息处理者精细化监管制度空白，具备三重突出价值。一是实现治理精准化。二是统筹发展和安全。三是完善制度体系。与《网络数据安全管理条例》《个人信息保护合规审计管理办法》等互补，构建“大型主体从严、小型主体简化”的矩阵，推动协同共治落地。

　　在张新宝看来，这些简化措施坚持了《个人信息保护法》确定的基本原则和关键制度，守住了个人信息保护的底线，同时也给小型个人信息处理者进行了较大减负，有利于促进中小企业创新发展，为我国数字经济普惠化、高质量发展提供坚实的法治支撑。（撰文：刘吉东）