化繁为简，合规减负——《小型个人信息处理者个人信息保护简化措施规定》解读

引言

2026年7月22日，国家网信办、公安部联合发布《小型个人信息处理者个人信息保护简化措施规定》（以下简称“新规”），自2026年9月1日起施行。新规共22条，并附《小型个人信息处理者个人信息保护合规审计自查表》和《小型个人信息处理者个人信息保护影响评估表》，是我国首部专门针对小型个人信息处理者制定的部门规章。

新规根据处理规模、业务复杂程度和实际合规能力，允许小型个人信息处理者以更简便的方式履行部分法定义务。简单来说，是在个人信息保护方面给中小微企业减负。

01.谁是“小型个人信息处理者”

根据新规第2条，个人信息处理数量为唯一的量化标准——处理不满10万人个人信息的个人信息处理者，属于小型个人信息处理者。需要注意的是：

• 判断标准不是企业规模。小微企业如果拥有大量注册用户，处理人数达到或者超过10万人，不能适用新规；大型企业如果实际处理人数不足10万人，也属于小型个人信息处理者。

• 统计的是自然人数量，而不是数据条数。同一自然人在客户系统、售后系统和营销系统中留下多条记录，原则上不应简单重复累计。

• 统计的是当前处理个人信息涉及的自然人数量，已经删除的个人信息不计入。企业过去累计服务过多少客户，并不当然等于当前处理人数。但对于人员流动较快、数据持续新增和删除的业务，适用资格可能动态变化。

建议接近10万人门槛的企业设置预警机制，一旦达到10万人门槛，应及时切换至一般个人信息处理者的合规要求。

02.简化个人信息处理规则

根据新规第4条，小型个人信息处理者仍应当公开个人信息处理规则（实践中通常体现为隐私政策等文件），但内容可以适当简化，至少包括：