华炬数小合｜给中小微企业“减负松绑”！一文读懂《小型个人信息处理者个人信息保护简化措施规定》

（一）落实党中央决策部署

党的二十大报告提出加强个人信息保护、支持中小微企业发展；党的二十届四中全会进一步提出加强个人信息保护，支持中小企业和个体工商户发展。《规定》是这一部署在个人信息保护领域的具体落地。

（二）上位法有明确授权

《个人信息保护法》第六十二条规定，国家网信部门统筹协调有关部门针对小型个人信息处理者，制定专门的个人信息保护规则、标准。《规定》正是落实这一法定要求的重要举措。

（三）回应现实中的“合规困境”

中小服务商、个体工商户、线下小店等主体量大面广，却长期面临“有合规义务、缺履责能力”的现实困境。若对其统一适用与大型平台完全相同的合规标准，既缺乏现实基础，也难以实现监管资源的精准配置。《规定》的立法思路并非降低个人信息保护标准，而是在守住个人信息安全底线的前提下，允许符合条件的小型处理者以简化合规文件、优化履行程序、共享平台治理成果等方式落实义务，实质性降低中小微企业和个体工商户的合规负担。

（一）主体条件－－谁能享受“简化”？

享受简化措施有个硬门槛——处理的个人信息涉及的自然人不满10万。

这个数怎么算？官方的口径是：不含10万本数，按你当前处理的信息涉及多少人累计统计，已经删掉的不再计入。一家水果店存了几千个会员手机号，妥妥在线内；但如果生意做大、用户数逼近10万，就得开始准备“合规升级”了，因为突破这道线之后，简化措施就不再适用。

（二）关键条款－－到底简化在哪儿？

1.写“隐私政策”，三要素就够

以前写个人信息处理规则，动不动就是洋洋洒洒几千字。现在小处理者只需要写清楚三件事：你是谁、用户想行使权利该找谁怎么联系、你收集信息用来干什么、存多久。公开方式也很接地气：线下做生意的，在店里醒目位置贴张公告就算公开了；线上做生意的，写进服务协议或者弹个窗、发个网站公告都可以。

2.园区和平台可以“统一代办”

这一条对创业者特别友好。科技园、产业基地、商场物业这类管理方，可以为范围内做同类线下生意的小商户统一制定并公开一套处理规则，商户同意遵守、名字被写进规则里，就不用自己再写一份了。

开网店的更省心。如果你只在平台上做生意、信息不往外传，平台又已经制定了专门的规则、和你约定了各自权责，那你声明遵守平台规则之后，连自己那份规则和告知义务都可以省掉。当然，前提是你的操作别超出平台规则的范围，超出的部分还得自己补上。

3.告知用户，不必再“满屏弹窗”

只要满足两个前提——收集的是提供服务必需的普通信息、不转给其他商家也不对外公开——小处理者把规则公示出来就算履行了告知义务，不用每次都追着用户弹窗确认。不过公示得走心，该加粗加粗、该标色标色，得让人一眼看到。

相应地，用户在知情的情况下自愿主动提供信息（比如主动报手机号办会员），商家按公示的规则使用就行，流程大大简化。

4.审计和评估，有了“官方模板”

这可能是省钱最多的一条。《规定》直接附了两张表——《合规审计自查表》和《个人信息保护影响评估表》，照着填就行。

审计的频率也放宽到了每五年至少一次，自查表留存五年；影响评估做完，表格留存三年即可。如果公司通过了个人信息保护认证，认证有效期内连审计都可以免做。跟动辄请专业机构动辄数万元的审计费用相比，自己照表自查，成本几乎可以忽略。

5.停业、转让、信息泄露，都有简便通道

店不开了怎么办？先把顾客信息删掉；实在没能力删的，可以报告主管部门甚至市级网信部门请求帮助。

店铺转让、公司合并需要移交信息的，贴公告、发短信、弹窗告知即可，但要至少提前30个工作日发出来，公示满30个工作日。

万一发生信息泄露，确实联系不上用户的，也可以通过张贴公告、客户端弹窗等简便方式履行通知义务。

6.跨境小生意，多数情况不用跑审批

做跨境购物、跨境寄递的小商家，或者因为履行合同、跨境用工、紧急情况等确需向境外提供信息的，以及一年累计向境外提供不满10万人普通个人信息的，都不用再申报数据出境安全评估、签标准合同、做认证。但注意，告知用户、取得单独同意这些基本义务，该做还得做。

（三）红线要求－－一条也没少

看到这儿可能有人想，是不是小规模就可以随便收集信息了？完全不是。

《规定》第三条白纸黑字写着，所有简化措施，都要在遵守个人信息保护法律法规的基础上进行。合法、正当、必要、最小化这些原则，一个都没少。

尤其要盯紧三件事。一是敏感个人信息——人脸、行踪、健康这类信息，必须告知必要性、说明影响，并且得到用户的单独同意。正式稿特意删掉了征求意见稿中“用户主动配合就算同意”的设计，审慎态度很明确，敏感信息没有捷径。二是未成年人信息——涉及不满十四周岁的孩子，必须单独制定一套处理规则，这是正式稿新加的要求。三是数量红线——生意越做越大、用户过了10万，简化待遇自动失效，得及时切换回标准合规模式。

对中小微企业和个体工商户建议做好以下自查，即

对网络平台、园区和商业物业来说机遇与责任并存，《规定》为平台和园区打开了“统一规则”“集中合规”的制度空间：平台制定专项规则、开展覆盖入驻商户的审计评估，园区统一制定线下处理规则，都能直接降低生态内小微主体的合规成本。但这也意味着平台和园区承担了更重的规则制定与通知义务，平台调整规则时须及时通知相关小型处理者。这既是服务能力的竞争点，也是新的合规责任。

对“不适用”的企业而言，更要高标准要求自己，简化措施仅适用于“不满10万人”的处理者。处理规模超过该标准的，仍须严格执行《个人信息保护法》的全部合规要求，包括完整告知、单独同意、出境合规路径、定期合规审计等。

这部《规定》让人看到监管思路的一个转变：从“一把尺子量到底”，转向按规模分级、宽严相济。对小商家，给工具、给通道、给容错；对每个人的信息安全，守底线、划红线、不含糊。

说到底，好的制度不是让守法者疲于奔命，而是让保护个人信息这件事，变成街边小店也做得起、做得到的日常。