近日，国家网信办、公安部联合公布《小型个人信息处理者个人信息保护简化措施规定》(以下简称《规定》)，自2026年9月1日起施行。
国家网信办有关负责人表示，《个人信息保护法》规定，国家网信部门统筹协调有关部门针对小型个人信息处理者，制定专门的个人信息保护规则、标准。制定《规定》，是贯彻落实党中央决策部署，落实《个人信息保护法》有关要求的重要举措，有利于在坚守个人信息安全底线的同时，降低小型个人信息处理者合规成本，提升小型个人信息处理者个人信息保护水平，为中小微企业创新发展提供法治保障。
《规定》明确了适用范围和总体要求。规定在中华人民共和国境内的小型个人信息处理者实施个人信息保护，适用本规定。明确小型个人信息处理者，是指处理不满10万人个人信息的个人信息处理者。规定支持小型个人信息处理者在遵守个人信息保护相关法律、行政法规和国家有关规定基础上，依据本规定采取与小型个人信息处理者规模、能力等相当的简化措施保障个人信息安全，保护个人信息权益。
《规定》明确了小型个人信息处理者个人信息处理规则等的简化措施。规定小型个人信息处理者制定公开个人信息处理规则、履行告知义务、取得个人同意、受理个人行使权利申请、删除个人信息等的简化措施。明确小型个人信息处理者向境外提供个人信息时免予申报数据出境安全评估、订立个人信息标准合同、通过个人信息保护认证的条件。
《规定》明确了小型个人信息处理者履行义务的简化措施。规定小型个人信息处理者开展个人信息保护合规审计、个人信息保护影响评估、建立个人信息保护管理制度、履行个人信息安全事件补救和通知义务等的简化措施。明确通过个人信息保护认证的小型个人信息处理者，在认证有效期内可以免予开展个人信息保护合规审计。
《规定》明确了监督管理要求。规定对小型个人信息处理者不予处罚、从轻或者减轻处罚的情形。明确支持企业、相关社会组织、专业机构等帮助小型个人信息处理者提升个人信息保护能力水平，鼓励履行个人信息保护职责的部门降低小型个人信息处理者合规成本。规定网信部门、公安机关和其他履行个人信息保护职责的部门可以对小型个人信息处理者履行个人信息保护义务情况进行监督检查。明确违反规定的法律责任以及施行时间。
《规定》以附件形式提供了《小型个人信息处理者个人信息保护合规审计自查表》《小型个人信息处理者个人信息保护影响评估表》，便于小型个人信息处理者自行开展个人信息保护合规审计、个人信息保护影响评估。
