2026年7月22日，国家互联网信息办公室与公安部联合发布《小型个人信息处理者个人信息保护简化措施规定》(以下简称“《新规》”)，自2026年9月1日起施行。笔者认为，这部规章是我国个人信息保护法治进程中的重要里程碑，它在坚守《个人信息保护法》(以下简称“《个保法》”)安全底线的基础上，为处理个人信息不满10万人的中小微企业量身定制了一套“减负机制”，有效破解了小微企业“合规成本高、落地难度大”的痛点。本文将从专业律师视角，横向对比《个保法》梳理《新规》带来的核心减负要点，纵向对比征求意见稿剖析关键差异，并为小型个人信息处理者提供实操合规建议。
作者：龚琳、潘凯文、蔡浩辉、王天颐
一、破局与减负：相较《个保法》的八大核心简化举措
相较于《个保法》对所有处理者一视同仁的通用要求，《新规》从实质上简化了规则制定、告知同意、审计评估、数据出境等环节的个人信息处理全流程监管思路，具体体现在以下八个关键点：
(一)创设量化门槛：明确“小型”定义
《个保法》并未对处理者规模进行分级分类。《新规》明确界定“处理不满10万人个人信息”为小型处理者，创设了清晰的量化门槛。低于此门槛的处理者即可享受该规定中的全套简化措施，这让许多非C端业态的企业以及中小微企业有了明确的合规预期。
(二)隐私政策“做减法”：公开方式更灵活
《新规》第4条将《个保法》中对隐私政策应当包含的繁杂内容精简为三项核心要素，即个人信息处理者名称、维权受理人联系方式，以及处理目的和处理方式。同时，《新规》允许企业采用更为灵活的方式公开政策，企业在线下收集时，可通过“经营场所醒目位置张贴公告”的方式替代冗长的书面文件，线上则可通过服务协议、弹窗和网站公告等方式公开政策，大幅降低规则制定的文本成本。
(三)引入“代为制定”与“平台代履责”机制
《新规》首创了两种外部支持机制：一是园区、商业物业等可为相同线下业务的小企业统一制定规则(第5条);二是仅依托网络平台处理信息且平台已有规则的企业，声明遵守后可完全免除制定规则和告知义务，甚至可共用平台的合规审计与影响评估结果(第8条)。这直接免除了大量小微商户和平台内经营者的重复劳动。
(四)特定场景豁免“逐一告知”与“勾选同意”
《个保法》通常要求以弹窗或勾选方式取得同意。《新规》第6条和第7条规定，在处理非敏感信息、不向第三方提供且个人主动提供的前提下，企业仅需公开处理规则即可视为履行告知义务，豁免了单独弹窗或勾选的动作要求。
(五)审计周期明确延长，允许自查替代外审
实践中，为满足《个保法》第54条的定期开展合规审计要求，企业可能会选择每年聘请外部机构完成年度审计，从而增加年度财务支出。《新规》第13条将上述周期明确为“至少每五年开展一次”，且允许企业使用其附件提供的《合规审计自查表》自行完成内部审计工作。此外，《新规》第17条规定，若企业通过了个人信息保护认证，在认证有效期内还可直接免予审计，极大节约企业的审计成本。
(六)安全事件通知允许“公告替代”
发生信息泄露时，《个保法》要求及时通知个人。《新规》第16条考虑到小企业的触达能力，在确因客观条件无法逐一通知时，允许仅通过线下张贴公告或线上弹窗方式通知，体现了对客观现实的包容。
(七)停止运营引入“求助机制”
针对《个保法》对企业在停止服务后主动删除个人信息的要求，《新规》第12条充分考虑到部分小企业缺乏技术能力的可能性，并提出了创新化解路径，对于确无能力自行删除信息的企业，可主动向主管部门或网信部门报告并请求帮助，帮助小企业从“客观不能”的源头上避免违法风险。
(八)监管留温度：明确“首违不罚”与从轻减轻情形
《新规》第18条和第19条引入了行政处罚法中的免责精神，明确“初次违法且危害后果轻微并及时改正的，可以不予处罚”，并将在安全事件中“及时告知个人和采取补救措施，并主动通知有关部门”列为从轻减轻情形，为中小微企业构建了容错空间。
二、收紧与细化：正式稿与征求意见稿的关键差异
对比2026年4月发布的征求意见稿，正式稿在整体放宽减负的基调上，针对特定高风险领域进行了“收紧”和“细化”，体现了监管层在“放权”与“保底”之间的精准平衡。
(一)敏感个人信息处理：重回“单独同意”底线
此前公开的征求意见稿曾设置一项颇具争议性的特殊规则，根据条款规定，如果个人在处理敏感个人信息时主动配合提供自身敏感个人信息，该行为即视为同意，而这一规定被业界认为大幅突破了《个保法》第29条针对敏感信息设立的单独同意强制性要求。相较之下，正式稿第7条明确删除了该豁免表述，重申处理敏感个人信息必须“取得个人的单独同意”。作为正式稿相较征求意见稿版本最显著的收紧变化，该规定意味着小企业在处理人脸、生物样本等敏感信息时仍需履行单独同意的法定程序，只有在告知环节方可采用在规则中告知必要性及影响的简化处理方式。
(二)未成年人保护加码：新增专门规则要求
正式稿第4条新增第三款：“处理不满十四周岁未成年人个人信息的，应当制定专门的个人信息处理规则。”征求意见稿并无此要求。这表明，即使企业规模再小，只要触碰未成年人信息，就必须适用《个保法》的严格标准，不能适用简化版的隐私政策。
(三)告知形式要求细化：强调“显著提示”
征求意见稿对告知形式较为宽松。正式稿第6条则明确要求，若通过公开规则替代逐一告知，规则必须“通过加粗字体、放大字号、标记不同颜色等显著方式向用户提示”。这防止了企业利用“密密麻麻的协议”变相损害个人知情权。
(四)依托平台豁免条件趋严：强调约定与范围限制
对于依托平台的小企业豁免义务的情形，正式稿第8条新增了平台需与小企业约定各自权利义务、处理活动未超出平台规则载明的目的、方式和种类范围的限制，并新增了提前30个工作日公开时长要求。这厘清了平台与商户的责任边界，防止小企业借平台规则“越界”处理信息。
(五)处罚机制微调：引入“无主观过错”与裁量空间
正式稿第18条新增了小企业“有证据足以证明没有主观过错的“不予处罚的法定免责事由;同时，将征求意见稿中“初次违法…不予处罚”的绝对表述修改为“可以不予处罚”，赋予了监管部门必要的裁量权，使其更契合行政法理。
(六)外部支持主体拓宽：引入社会力量
征求意见稿将提供培训、工具的责任主体限定为“各地区、各部门”。正式稿第20条将主体扩展至“支持企业、相关社会组织、专业机构等”参与赋能，并鼓励监管部门提供基础设施和工具。这意味着未来的合规服务市场将有更多社会化力量参与。
三、律师实务建议：小型处理者的合规落地路径
面对2026年9月即将生效的《新规》，小型个人信息处理者应如何调整合规策略?笔者提出以下实操建议：
(一)审慎评估适用身份与动态门槛
企业应建立个人信息处理台账，精准盘点处理的个人信息数量。注意“10万人”是动态门槛，一旦达到或超过10万人，将立即丧失小型处理者身份，需在合理期限内完成向《个保法》通用合规体系的过渡。
(二)优先利用“外部赋能”与“代履责”机制
处于园区、商圈内开展线下业务的企业，应主动向物业或管理方了解是否有“统一制定规则”;依托电商平台、SaaS平台运营的线上商户，应仔细审查平台的隐私政策，及时作出“声明遵守”的动作，以合法豁免自身的规则制定与审计评估义务。
(三)守住“敏感信息”与“未成年人信息”红线
切勿因适用简化措施而放松对敏感信息和未成年人信息的合规管理。处理此类信息必须取得单独同意，且涉及未成年人必须制定专门规则。建议小企业在非必要的情况下，尽量优化业务流程并通过技术手段避免收集敏感信息。
(四)灵活运用模板工具，建立内部简易管理机制
一方面，企业应充分利用《新规》附件提供的《合规审计自查表》和《影响评估表》;另一方面，相较于耗费重金建立复杂的内控制度，建议企业将个人信息保护要求融入现有的组织管理文件中，明确一名维权受理人员并将其信息对外公开，以满足新规划定的基础合规标准。
(五)完善数据出境前置审查
有跨境业务的小企业，应在开展数据出境前对照《新规》第10条的六项豁免情形进行自查。即使符合免予安全评估或标准合同的条件，也切勿忘记履行向个人告知境外接收方信息并取得单独同意的法定底线义务。
四、结语
《新规》的出台，标志着我国个人信息保护监管并非“一刀切”的监管思路，已逐步迈向精准施策的分层治理新阶段。《新规》在为中小微企业合规环节实质性减负的同时，收紧敏感信息和未成年人保护等关键条款，守住个人信息保护的法治底线。小型个人信息处理者应主动把握这一政策红利期，利用外部支持机制以及简便自查工具等合规资源，搭建适配自身经营模式的合规框架，在创新发展的道路上轻装上阵、稳健前行。 | 
下一篇：
