简化小型个人信息处理者保护措施的征求意见通知

为了促进中小微企业的创新发展，简化小型个人信息处理者的法律义务履行方式，依据《中华人民共和国个人信息保护法》、《中华人民共和国民法典》和《网络数据安全管理条例》等法律法规，国家互联网信息办公室制定了《小型个人信息处理者个人信息保护简化措施规定（征求意见稿）》，现公开征求社会意见。公众可通过以下途径反馈意见：

1.访问中国网信网（www.cac.gov.cn），在首页“网信要闻”中查看文稿。

2.发送电子邮件至：shujuju@cac.gov.cn。

3.邮寄意见至北京市海淀区阜成路15号国家互联网信息办公室网络数据管理局，邮编100048，并在信封上标明“小型个人信息处理者个人信息保护简化措施规定征求意见”。

意见反馈截止日期为2026年5月3日。

附件：小型个人信息处理者个人信息保护简化措施规定（征求意见稿）

小型个人信息处理者个人信息保护简化措施规定

第一条 为支持中小微企业创新，简化小型个人信息处理者的法律义务，根据相关法律法规制定本规定。

第二条 在中国境内实施个人信息保护的小型个人信息处理者适用本规定。

本规定所指小型个人信息处理者，是指处理少于10万人个人信息的主体。

第三条 鼓励小型个人信息处理者在遵守相关法律法规的基础上，采取与自身规模相适应的简化措施保障信息安全。

第四条 小型个人信息处理者的规则应包括以下内容：

（一）处理者名称或姓名；

（二）个人权利行使的联系人及联系方式；

（三）个人信息处理目的、方式、种类及保存期限等。

线下收集信息时，可通过张贴公告公开处理规则；线上收集时，可通过服务协议公开。

第五条 支持园区等单位为小型个人信息处理者统一制定并公开处理规则，遵守该规则的小型处理者可不再单独制定规则。

第六条 符合特定条件的小型个人信息处理者，仅需通过公开处理规则履行告知义务，规则应便于查阅和保存。

（一）处理非敏感个人信息且为提供产品或服务必需；

（二）不向其他处理者提供且不公开个人信息，并在规则中明示。

第七条 个人主动提供必要个人信息给小型个人信息处理者，处理者已公开规则并履行告知义务后，可按规则处理信息。

第八条 符合特定条件的小型个人信息处理者可免于制定规则和履行告知义务：

（一）仅通过网络平台处理信息，且不向平台外提供；

（二）平台已制定并公开处理规则，履行告知义务；

（三）声明遵守平台规则，处理信息为提供产品或服务必需。

符合条件的，平台已进行合规审计、影响评估的，小型处理者可不再重复进行。

第九条 小型个人信息处理者因合并等原因需转移信息时，可通过张贴公告等方式告知接收方信息；线上服务还需通过客户端弹窗公告。

小型个人信息处理者应提前至少30个工作日公开告知事项，时长不少于30个工作日。

第十条 处理敏感个人信息时，应在规则中告知必要性及对个人权益的影响。

个人知情并主动提供人脸等敏感信息时，小型处理者可按已告知的目的、方式等处理信息。

第十一条 向境外提供个人信息符合特定条件之一的，免予申报安全评估、订立标准合同、认证等：

（一）跨境购物、寄递等确需向境外提供信息的；

（二）依法实施跨境人力资源管理确需提供的；

（三）紧急情况下为保护生命健康和财产安全确需提供的；

（四）履行法定职责确需提供的；

（五）累计向境外提供不满10万人信息的；

（六）其他法律规定的情形。

前款所述向境外提供的信息不包括重要数据。

小型个人信息处理者确需向境外提供信息，可由省级网信部门评估后报国家网信部门核准。

鼓励相关部门为小型个人信息处理者提供咨询等服务。

第十二条 小型个人信息处理者应公开受理人员及其联系方式，建立个人权利申请受理和处置机制。

第十三条 停止服务的小型个人信息处理者无能力删除信息时，可向主管部门报告并请求帮助。

第十四条 小型个人信息处理者每五年至少开展一次合规审计，并保存自查表五年。

第十五条 小型个人信息处理者应开展影响评估，并保存评估表三年。

第十六条 小型个人信息处理者可通过组织文件明确内部管理要求，建立管理制度和应急预案。

第十七条 发生信息泄露等情况时，应立即采取补救措施，按规定通知个人和有关部门；涉嫌犯罪的，应及时报案。

第十八条 支持认证机构针对小型个人信息处理者开展认证工作，提高服务质量。

通过认证的小型个人信息处理者，在有效期内可免于合规审计。

第十九条 小型个人信息处理者有轻微违法行为并及时改正，未造成危害后果的，不予处罚。

不予处罚的，主管部门可视情况采取约谈等监管措施。

第二十条 小型个人信息处理者有主动消除违法后果等情形的，应当从轻或减轻处罚。

第二十一条 支持各地区、各部门通过培训、讲座等方式帮助小型个人信息处理者提升保护能力。

鼓励提供基础设施、技术工具等降低合规成本。

第二十二条 本规定自 年 月 日起施行。

1.小型个人信息处理者个人信息保护合规审计自查表

2.小型个人信息处理者个人信息保护影响评估表