小型个人信息处理者个人信息保护简化措施规定

简化措施需要逐项判断条件。企业规模小、员工少或依托平台经营，都不能直接推导出全部个人信息义务已经由平台履行。本文依据国家网信办、公安部令第25号正式文本，不使用2026年4月征求意见稿替代正式规定。

法规概览

项目	内容
公布与施行	2026年7月22日公布，2026年9月1日施行
主体条件	境内处理不满10万人个人信息的个人信息处理者
计数边界	判断处理者实际处理的人数；不按单个门店、项目或数据库分别规避门槛
核心原则	简化部分履责方式，仍需满足相应实体保护义务

实施示例。 同一处理者两个系统分别涉及6万、4万人，其中1.5万人重合，去重后为8.5万人。这个计算只说明主体规模；能否使用简化告知，还要继续判断敏感信息、对外提供和公开等条件。刚好10万人不满足“不满10万人”。统计需保留系统范围、去重方法及删除等状态依据。

法规要求｜第4—5条。 处理规则至少载明处理者、行权受理渠道、目的、方式、种类和期限。线下可采用醒目公告，线上可用服务协议、客户端弹窗、网站公告等方式。不满十四周岁未成年人仍须专门处理规则。采用园区等统一规则时，处理者应被列明并同意遵守。

验收。 从一笔真实订单核对姓名、地址、联系方式的收集、共享和保存。公告里没有的营销用途，不能因“已张贴隐私公告”自动取得依据。采用园区规则时，核对经营者名称、业务类型和真实处理范围。

场景	法规条件	核验重点
第6条简化告知	必需的非敏感个人信息；不向其他处理者提供、不公开；规则中明示并显著提示	必要字段、接收方和公开接口与规则一致
第7条主动提供	已告知；个人充分知情、自愿主动提供或配合提供服务必需信息	表单和现场交互能够证明知情与自愿
敏感个人信息	告知必要性和权益影响，取得单独同意；其他特别规定从其规定	不以用户配合动作替代正式文本要求的单独同意

“店铺规模小”不能使广告画像、购买第三方名单或非必要人脸识别自动变成必要处理。

法规要求｜第8条。 仅通过平台开展处理且不向平台外其他处理者提供；平台为该活动发布规则并约定双方权利义务；经营者声明遵守，且活动必要并未超出规则。平台已完成的审计、影响评估还须覆盖该经营者依托平台开展的活动，才能避免重复。

穿行示例。 商户在平台内接单，但将客户电话导入外部CRM或营销工具，应重新判断平台简化条件，另行履行超出范围活动的规则、告知、审计和影响评估义务。验收同时检查平台合同、API、导出文件和第三方SDK，不能只看平台提供的一封承诺函。

事项	要求与依据	建议证据
简化合规审计	第13条：可用附件自查表，至少每5年一次，自查表至少保存5年；未成年人另有规定从其规定	已填写自查表、样本、发现项和整改
简化影响评估	第14条：可用附件评估表，至少保存3年	处理活动、风险、措施和实际验证
认证衔接	第17条：通过个人信息保护认证，在认证有效期内可免开展合规审计	证书状态、范围及实际覆盖
特定转移告知	第9条：至少提前30个工作日公告，公开时长不少于30个工作日	接收方、公告内容、开始结束时间
停止服务	第12条：采取必要措施删除；确无能力时依法向主管部门请求帮助	删除结果、未完成范围及求助记录

平台覆盖或认证免审不免除合法性、必要性和安全保护义务。附件表格可从正式发布页获取。

第10条的出境程序豁免需逐项命中，不覆盖重要数据；仍须依法履行告知、单独同意等义务，详见数据跨境。第16条要求立即补救个人信息泄露等事件，并依法通知部门和个人；公告通知仅限客观条件限制、无法通过其他方式通知的相应情形。

第18—19条区分“应当不予处罚”“可以不予处罚”及从轻、减轻情形，不能写成“小企业首次违法免罚”。内部应保存真实处理依据、整改和补救证据，由有权机关按事实认定。

正式规定及附件 · 官方答记者问。下列本站资料仅辅助核对。

查看法规原文

国家网信办、公安部于2026年正式公布。小型个人信息处理者是指当前处理不满10万人个人信息的个人信息处理者，已删除个人信息不计入数量。

规定对处理规则、告知同意、依托网络平台处理、个人权利、合规审计、影响评估和事件处置等提供简化措施，并附合规审计自查表和影响评估表。官方答记者问明确，合规审计原则上至少每5年开展一次；其他法律法规另有更严格规定的，从其规定。