动态与观点
2026年9月1日起，《小型个人信息处理者个人信息保护简化措施规定》（国家互联网信息办公室、公安部令第25号）正式施行。这份新规面向处理不满10万人个人信息的主体，在告知义务、合规审计、影响评估、数据出境等方面给出简化路径，被业内视为《个人信息保护法》第六十二条授权立法的首次落地，也是监管“分类施策”思路的集中体现。（来源：中央网信办官网《国家网信办、公安部联合公布〈小型个人信息处理者个人信息保护简化措施规定〉》）
01
为什么是“不满10万人”？简化会不会变成放松？
《规定》把小型个人信息处理者界定为处理不满10万人个人信息的主体。按官方答记者问，这一数字按当前处理个人信息涉及的自然人数量累计统计，不含10万人本数，也不包括已删除的个人信息。对此，北京恒都律师事务所律师、全国涉外专业委员会委员、全国知识产权专业委员会委员、北京市律师协会数字经济与人工智能领域法律专业委员会委员路勇律师进行了分析。
第一，10万人门槛是对《个人信息保护法》第六十二条授权的具体化。
路勇律师指出，该条授权国家网信部门针对小型处理者制定专门规则，《规定》以此为依据设定数量门槛，与《促进和规范数据跨境流动规定》等既有规范的分层口径保持一致，操作性较强。
第二，简化的是履行方式，不是保护标准。
路勇律师强调，新规允许符合条件的主体通过公开处理规则代替逐项告知、每五年以自查表方式开展审计、使用简化评估表等，但告知同意、最小必要、目的限定、敏感个人信息单独同意、未成年人特殊保护等核心规则并未降低。
第三，分类监管把执法资源引向高风险场景。
路勇律师分析，《个人信息保护法》对大型平台、重要互联网平台已设特别义务，小型主体若按同一套操作标准执行，合规成本与业务规模不相匹配。《规定》通过差异化安排，让监管力量更集中于大规模、高风险数据处理活动。
第四，依托平台或园区可进一步降低重复合规成本。
路勇律师提到，仅通过网络平台经营且不向平台外提供个人信息的主体，在平台已发布规则并约定权利义务的前提下，可不再自行制定规则、重复开展审计与评估；园区、商业物业也可为同类业态统一制定处理规则。
02
小型处理者9月1日后至少要做哪几件事？
新规已经生效，小微企业与其被动等待检查，不如先把合规动作落细。结合《规定》要求，可从以下方面着手。
1.统计处理规模并动态管理
按当前仍在处理的个人信息涉及的自然人数量判断是否落入适用范围，建立台账，并在接近10万人阈值时提前安排合规升级。
2.制定并公开处理规则
规则至少载明主体名称、行权受理部门及联系方式、处理目的与方式、信息种类与保存期限；线下可在经营场所张贴公告，线上可通过服务协议、弹窗或网站公告公示。
3.区分可简化事项与须全额履行事项
对不向他人提供、不对外公开的非敏感个人信息，可在规则中明示以适用告知简化；涉及对外提供、敏感个人信息或未成年人信息的，应回归一般规则，敏感信息仍须取得单独同意。
4.建立审计、评估与留痕机制
按附件《自查表》至少每五年开展一次合规审计并保存五年，影响评估使用附件《评估表》并保存三年，或通过个人信息保护认证免予审计；同时留存人数统计、规则公示、告知同意等记录，确保适用条件可追溯。
03
写在最后
《小型个人信息处理者个人信息保护简化措施规定》的施行，意味着个人信息保护制度从“一刀切”向“分类治理”又迈了一步。对小微企业而言，简化不是免责，而是用更低的合规成本守住同样的安全底线；对监管而言，差异化安排有助于把有限资源投向真正的高风险环节。当数据合规与企业发展能够并行，数字经济的制度环境才会更可预期。
本文不构成法律意见，具体案件请咨询专业律师。
相关法条
《中华人民共和国个人信息保护法》第六十二条
国家网信部门统筹协调有关部门针对下列事项制定个人信息保护具体规则、标准：……（三）针对小型个人信息处理者、处理敏感个人信息以及人脸识别、人工智能等新技术、新应用，制定专门的个人信息保护规则、标准。
《小型个人信息处理者个人信息保护简化措施规定》（国家互联网信息办公室、公安部令第25号）
第二条 在中华人民共和国境内的小型个人信息处理者实施个人信息保护，适用本规定。
本规定所称小型个人信息处理者，是指处理不满10万人个人信息的个人信息处理者。
第三条 支持小型个人信息处理者在遵守个人信息保护相关法律、行政法规和国家有关规定基础上，依据本规定采取与小型个人信息处理者规模、能力等相当的简化措施保障个人信息安全，保护个人信息权益。
第六条 小型个人信息处理者同时符合下列条件的，可以仅通过公开个人信息处理规则向个人履行告知义务，个人信息处理规则应当通过加粗字体、放大字号、标记不同颜色等显著方式向用户提示，并便于查阅和保存： （一）处理个人信息（不含敏感个人信息）为提供产品或者服务所必需； （二）不向其他个人信息处理者提供且不对外公开个人信息，并在个人信息处理规则中明示。
第十三条 小型个人信息处理者开展个人信息保护合规审计，可以使用附件《小型个人信息处理者个人信息保护合规审计自查表》，至少每五年开展一次个人信息保护合规审计，并保存五年。
第十七条 通过个人信息保护认证的小型个人信息处理者，在认证有效期内可以免予开展个人信息保护合规审计。
律师介绍
路勇
北京恒都律师事务所律师、全国涉外专业委员会委员、全国知识产权专业委员会委员、北京市律师协会数字经济与人工智能领域法律专业委员会委员、天津市商业秘密保护专家库成员
路勇律师本科毕业于山东大学，研究生毕业于中国科学院大学，拥有律师与专利代理师双资质，从业十七年，代理了逾千件知识产权授权确权案件及近百件具有重大影响力的诉讼、仲裁案件。他擅长以 “技术 + 法律” 双维度思维解决高科技领域疑难复杂争议，专注于专利侵权诉讼与无效、专利权属纠纷、商业秘密保护、标准必要专利 (SEP) 侵权及费率纠纷、知识产权刑民交叉案件。其对信息和智能技术、电信互联网、半导体、汽车新能源、医疗健康等高科技行业见解深入，法律服务涵盖知识产权全链条服务、重大民商事争议解决与仲裁、经济犯罪及知识产权犯罪刑事辩护，以及高科技企业常年法律顾问与专项合规服务。他注重技术事实的精准把握与法律策略的系统性设计，为客户提供专业、高效、全方位的法律解决方案。
在商业秘密保护领域，路勇律师拥有覆盖诉讼、刑事保护、合规建设的全链条实务经验：
•代理多家企业与其前员工及相关公司的商业秘密侵权、权属纠纷系列案件，在离职创业、人员流动等典型商业秘密风险场景中为客户提供有效保护；
• 在《知产前沿》、《IAM Innovation Yearbook》等国内国际专业出版物发表商业秘密相关研究文章；
•为企业进行包含商业秘密在内的知识产权制度建设，为企业进行识别秘点及秘点保护专项服务；
• 面向企业开展商业秘密制度搭建与风险管理培训，并围绕科技成果转化与风险管控发表主题演讲。
除商业秘密外，路勇律师在专利诉讼、专利无效、标准必要专利（SEP）许可费率争议、商标授权确权等知识产权全领域亦业绩丰富：他曾为高通、苹果、美光、霍尼韦尔、戴尔、TomTom等全球知名科技企业提供法律服务，代理跨国企业专利申请及复审案件1300余件；作为主办律师承办Sisvel与OPPO标准必要专利费率纠纷、京东方与三星系列专利诉讼、iPEL与华硕系列专利诉讼、创新记忆系统公司诉美光公司等重大专利纠纷，并在高通与苹果、高通与魅族、Immersion与苹果等系列重大案件的案件中工作。
路勇律师曾任北京邮电大学人文学院法律专业校外实践导师，曾受邀担任全球信息通信知识产权峰会（GIIPS 2023）大会主持人，在国内外专业媒体发表研究文章二十余篇，并多次接受法治网、新浪财经等媒体采访就知识产权保护发表专业意见。
未来，路勇律师将依托专家库平台，积极参与天津市商业秘密保护战略规划、政策研究、疑难案件研讨与宣传培训等重点工作，持续发挥专业所长，为优化营商环境、护航企业创新发展贡献力量。
