一、结论先行：五类简化与一项量化门槛
《小型个人信息处理者个人信息保护简化措施规定》（国家互联网信息办公室、公安部令第 25 号）自 2026 年 9 月 1 日起施行，核心是给规模较小的处理者减负，而不是免除义务。
- 适用门槛。小型个人信息处理者，是指处理不满十万人个人信息的个人信息处理者（第二条）。这一量化门槛是判断能否适用简化措施的前提。
- 处理规则的简化。对处理规则的内容与公开方式作了简化规定（第四条）；园区、产业基地、商业物业等可以统一制定处理规则（第五条）。
- 告知义务的简化。规定了仅通过公开处理规则履行告知义务的两个条件（第六条）。
- 数据出境的豁免。简化措施中明确了小型个人信息处理者数据出境免予申报数据出境安全评估、订立个人信息出境标准合同、通过个人信息保护认证。
- 首违不罚。对符合条件的轻微违法行为，规定了首违不罚的处理方式。
二、大型与小型处理者义务对照
| 义务项 | 一般个人信息处理者 | 小型个人信息处理者（简化后） | 主要依据 |
|---|---|---|---|
| 处理规则 | 应当制定并公开个人信息处理规则，内容详尽 | 内容与公开方式可简化；园区、产业基地、商业物业可统一制定 | 规定第四条、第五条 |
| 告知义务 | 逐一告知七项内容 | 符合两个条件的，可通过公开处理规则履行 | 规定第六条；《个人信息保护法》第十七条 |
| 数据出境 | 触发条件的须申报安全评估、订立标准合同或通过认证 | 免予上述三选一程序 | 规定相关条款；《个人信息保护法》第三十八条 |
| 合规审计 | 应按要求开展，可参照标准流程 | 可使用附件《合规审计自查表》开展自查 | 规定附件一 |
| 影响评估 | 五项法定情形须事前评估 | 可使用附件《影响评估表》，形式简化但情形不减免 | 规定附件二；《个人信息保护法》第五十五条 |
| 法律责任 | 依《个人信息保护法》第六章处理 | 符合条件的可适用首违不罚 | 规定相关条款；《行政处罚法》第三十三条 |
三、十万人门槛的三个判断问题
- 人数口径。「处理不满十万人个人信息」中的人数是累计处理的人数还是当前在库人数，规定未作进一步细化。稳妥做法是按累计去重口径管理，并在内部建立人数台账，避免因口径理解不同而误判适用条件。
- 是否包含已删除的记录。已依法删除、匿名化处理的信息通常不再计入；但「随时可能恢复」或存储于备份系统中的信息，是否计入需要谨慎判断。
- 跨主体归集。同一实际控制人下的多个小程序、公众号或 App 分别收集，是否合并计算人数，属于实践中的模糊地带，实务中存在争议。建议按集团或业务线合并评估，向从严理解靠拢。
四、合规审计自查表的落地使用
规定附件的《小型个人信息处理者个人信息保护合规审计自查表》与《个人信息保护影响评估表》，把原来较为复杂的合规工作要求转化为可勾选、可自评的表格工具，实际上降低了合规工作的专业门槛。
- 自查频率。建议至少每年一次，并在业务模式发生重大变化（新增业务场景、更换系统供应商、新增敏感信息处理）时增加自查。
- 留痕要求。自查表填写的结论、依据与整改措施应当留档；一旦发生监管检查或投诉，自查记录是证明已尽合理注意义务的重要材料。
- 整改闭环。自查发现的问题应当形成整改清单，明确责任人、整改期限与验收方式。仅填表不整改，不能产生免责效果。
- 与影响评估的衔接。触发《个人信息保护法》第五十五条五项法定情形的（处理敏感个人信息、自动化决策、委托处理、向他人提供、出境等），仍应开展影响评估，不因适用简化措施而免除。个人信息保护影响评估报告与处理情况记录至少保存三年（《个人信息保护法》第五十六条）。
五、数据出境豁免的边界
- 豁免的是程序，不是实质义务。小型个人信息处理者免予申报安全评估、订立标准合同或通过认证，但向境外提供个人信息仍需具备合法性基础，并履行告知、取得单独同意（适用时）的义务。
- 门槛动态变化的风险。一旦处理规模增长超过十万人，豁免基础消失，须及时按一般规则补做数据出境的合规程序。建议建立人数监测机制，设置预警线。
- 行业特别规定优先。金融、医疗、汽车等行业对数据出境另有规定的，应当同时遵守，简化措施不能突破行业特别监管要求。
六、首违不罚的适用条件
| 条件 | 具体内容 | 主要依据 |
|---|---|---|
| 初次违法 | 系首次实施该违法行为 | 《行政处罚法》第三十三条第一款 |
| 危害后果轻微 | 违法行为造成的危害后果轻微 | 《行政处罚法》第三十三条第一款 |
| 及时改正 | 在行政机关责令的期限内及时改正 | 《行政处罚法》第三十三条第一款 |
| 无主观故意 | 当事人有证据足以证明没有主观过错的，不予行政处罚 | 《行政处罚法》第三十三条第二款 |
| 不具有危害后果 | 违法行为轻微并及时改正，没有造成危害后果的，不予行政处罚 | 《行政处罚法》第三十三条第一款 |
七、常见问题
问：员工人数超过十万人但客户只有几千人，算小型处理者吗？
门槛以「处理的个人信息的人数」为准，而非员工人数或营收规模。如果处理的是本单位员工的人事信息，员工人数本身即可能构成处理人数。员工作为个人信息主体同样受保护，其信息处理人数应计入。具体口径建议以监管实践为准。
问：适用简化措施后，还需要取得用户同意吗？
需要。简化措施调整的是处理规则的内容与公开方式、告知的形式，不改变《个人信息保护法》第十三条确定的合法性基础。以同意为合法性基础的，仍应取得有效同意；涉及敏感个人信息、单独同意情形的，仍需单独同意。
问：委托第三方处理个人信息，双方责任如何划分？
委托处理情形下，受托人应当按照委托处理的目的和方式处理个人信息，委托人与受托人应当约定委托处理的目的、期限、处理方式、个人信息的种类、保护措施以及双方的权利和义务等（《个人信息保护法》第二十一条）。委托处理同样属于《个人信息保护法》第五十五条的法定评估情形，应当开展事前影响评估。
问：园区统一制定处理规则，入驻企业还需要单独制定吗？
规定允许园区、产业基地、商业物业等统一制定处理规则，但统一规则不能覆盖入驻企业全部的处理活动。企业仍须就其自身的处理活动确保规则公开、告知到位、安全保障落实。建议核实统一规则是否涵盖本企业的具体处理场景，不足部分自行补充。
问：自查表填写后是否需要报送监管部门？
自查属于企业的内部合规行为，不是定期报送义务。但发生个人信息泄露、监管检查或被投诉时，自查记录与整改材料可能被要求提供。建议按可随时调取的方式归档保存。
八、实务提示与法条依据
律师提示：小型处理者的合规工作，最大的风险不是「措施不够简化」，而是「误判自己属于小型而不做任何合规工作」。三步落地：一是建立处理人数的台账与监测机制，明确是否落在十万人以内的区间；二是用规定附件表格完成一次自查与评估，形成书面记录；三是对照自查发现的问题逐项整改并留痕。此外，处理人数是动态的——一旦突破十万人，豁免基础即消失，须按一般规则补齐出境合规程序与审计要求。
法条与依据核验：《小型个人信息处理者个人信息保护简化措施规定》（国家互联网信息办公室、公安部令第25号，2026年6月26日国家互联网信息办公室室务会议审议通过，2026年7月22日公布，自2026年9月1日起施行）第二条、第四条、第五条、第六条及附件一《小型个人信息处理者个人信息保护合规审计自查表》、附件二《个人信息保护影响评估表》；《中华人民共和国个人信息保护法》第十三条（合法性基础）、第十七条（告知内容）、第二十一条（委托处理）、第三十八条（个人信息出境）、第五十五条（应当事前开展影响评估的五项情形）、第五十六条（影响评估报告与处理情况记录至少保存三年）；《中华人民共和国行政处罚法》第三十三条（轻微违法不予处罚、首违不罚与无主观过错不罚）。特别说明：本规定系 2026 年 9 月 1 日起施行的新规，第二条以「处理不满十万人个人信息」作为小型个人信息处理者的界定标准；简化措施针对处理规则的制定与公开、告知义务的履行方式、数据出境的程序性要求、合规审计与影响评估的表单工具等作出规定，并在符合法定条件时适用首违不罚。简化措施不改变个人信息处理的合法性基础与安全保障义务。本文所引条文序号依现行有效版本标注，请以国家互联网信息办公室、公安部公布的官方文本为准。
