距《网络数据安全风险评估办法》2026年8月20日施行仅十余天,又一部重量级配套规章落地:由国家互联网信息办公室、公安部联合公布的《小型个人信息处理者个人信息保护简化措施规定》(以下简称《规定》)于9月1日正式生效。短短两周内,我国个人信息保护监管体系完成了对”大平台”与”小企业”的差异化制度拼图:大企业面临评估、审计、认证等刚性义务,中小企业则首次拥有了量身定制的”合规减负清单”。
淘橙数智(TopOrange)提醒广大中小企业主:这部规章不是”放松监管”,而是把原来”一视同仁”的合规要求,按照企业规模与风险等级做了精细化分层。理解它,企业能以最低成本守住个保法底线;无视它,一旦遭遇监督检查或个人信息泄露事件,企业将同时面对《个人信息保护法》《网络数据安全管理条例》与《规定》的三重责任叠加。本文结合《规定》原文与官方解读,梳理中小企业必须掌握的七件事。
一、谁是”小型个人信息处理者”?10万人是分水岭
《规定》明确:小型个人信息处理者,是指处理不满10万人个人信息的个人信息处理者。这是我国首次在法律层面为”小微企业个人信息合规”划出清晰的规模线。
对企业而言,判断自己是否落入适用范围,不需要复杂的法务测算:把企业在境内收集、存储、使用的个人信息主体数量(含客户、会员、员工、访客、供应商对接人等)做一个粗略盘点即可。一家年营收数千万元、拥有数万会员的制造企业,一家运营本地生活小程序、累计注册用户两三万的商贸公司,一家员工数百人、通过招聘系统沉淀大量简历的科技企业——大概率都属于”处理不满10万人个人信息”的范畴,也就是《规定》的受益对象。
反过来说,处理10万人以上个人信息的企业,不适用本《规定》的简化措施,仍需按照《个人信息保护法》和《网络数据安全管理条例》的一般要求执行。值得注意的是,《规定》同时明确了”不予处罚、从轻或者减轻处罚”的具体情形,意味着主动合规的小企业,即使出现轻微问题,也有获得执法宽容的制度通道。
二、《规定》”减负清单”拆解:从处理规则到行权响应
根据网信办官方解读,《规定》围绕中小企业日常最头疼的五个环节给出了简化方案:
第一,个人信息处理规则。过去,每家企业都要单独起草一份动辄数千字的《个人信息处理规则》,专业门槛高、出错概率大。《规定》第五条支持园区、产业基地、商业物业等服务管理单位,为其服务管理范围内开展相同线下业务的小型个人信息处理者统一制定并在显著位置公开个人信息处理规则。也就是说,入驻园区的同类企业,可以共用一份合规文本,”一份规则管多家企业”,从制度源头化解中小企业法律文本起草能力不足的难题。
第二,告知与同意。在履行告知义务、取得个人同意的环节,《规定》允许采取与其规模、能力相当的简化措施,不必照搬大型平台的复杂弹窗与多层授权设计。
第三,个人行使权利申请的受理。对于查询、复制、更正、删除个人信息等请求,中小企业可按简化流程响应,只要在法定期限内完成并留痕即可。
第四,个人信息删除。针对企业停止产品或者服务时”服务器要关、技术人员流失、确无能力删除”的现实困境,《规定》第十二条给出出口:可向所在地有关主管部门报告并请求帮助,主管部门不明确的,可向所在地设区的市级网信部门报告,避免企业因技术能力不足而”被动违法”。
第五,合规审计与影响评估。这是《规定》最实惠的制度设计:通过个人信息保护认证的小型个人信息处理者,在认证有效期内可以免予开展个人信息保护合规审计;同时,《规定》以附件形式提供了《小型个人信息处理者个人信息保护合规审计自查表》和《个人信息保护影响评估表》,企业拿着两张表逐项自查,即可低成本完成此前需要外包律师或咨询机构才能完成的动作。
三、中小企业最关心的:个人信息出境”六类豁免”
2026年现行数据出境制度下,企业向境外提供个人信息,主要有三条合规路径:申报数据出境安全评估、订立个人信息出境标准合同、通过个人信息保护认证。按照现行阈值体系,自当年1月1日起累计向境外提供100万人以上个人信息(不含敏感个人信息)或者1万人以上敏感个人信息的,应当申报数据出境安全评估;提供10万人以上不满100万人个人信息或者不满1万人敏感个人信息的,可采取标准合同或认证方式。
而《规定》第十条明确:小型个人信息处理者向境外提供个人信息时,符合特定情形的,可以免予申报数据出境安全评估、免予订立个人信息出境标准合同、免予通过个人信息保护认证。官方解读披露,豁免情形整合了《网络数据安全管理条例》《促进和规范数据跨境流动规定》的要求,主要包括六类:为订立、履行个人作为一方当事人的合同所必需;按照依法制定的劳动规章制度和依法签订的集体合同实施跨境人力资源管理;为保护自然人的生命健康和财产安全等紧急情况所必需;为履行法定职责或者法定义务所必需;法律、行政法规或者国家网信部门规定的其他情形等。
典型场景非常直观:一家给海外客户做OEM代工的制造企业,把境内员工的姓名、工号、社保信息提供给境外母公司或客户用于人力资源管理;一家外贸企业为履行与境外买方签订的供货合同,向其传输境内对接人的联系方式——这些在《规定》出台前需要逐项论证、甚至委托专业机构出具评估意见的出境动作,如今在豁免清单之内,直接为企业省下数万元的中介费用与数月的申报周期。
必须强调:”豁免”不等于”免责”。专家解读明确指出,制度目标是”豁免但不降低个人信息出境安全监管力度””简化数据出境流程但不降低个人信息安全保护效果”。企业仍需履行告知、取得个人单独同意、开展个人信息保护影响评估等基础义务,并对出境数据的真实性、必要性负责,不得通过拆分数量等方式规避监管。
四、合规减负之后:企业的四步落地清单
面对这部9月1日已生效的规章,淘橙数智建议中小企业按以下节奏完成落地:
第一步,主体画像与差距盘点(1周内)。统计个人信息处理规模,确认是否属于”不满10万人”范畴;对照《个人信息保护合规审计自查表》,逐项检查处理规则、告知同意、行权通道、删除机制、安全事件应急预案五大模块,形成差距清单。多数企业的问题集中在”没有成文处理规则”和”缺少行权响应流程”两项,整改成本最低、见效最快。
第二步,用足园区与公共资源。入驻园区、产业基地、商业综合体的企业,主动向运营方询问是否已按《规定》第五条制定统一的个人信息处理规则;地方网信部门、数据跨境服务中心还提供出境咨询等公共服务,企业应主动对接,把外部公共资源转化为自身合规能力。
第三步,决策出境业务是否需要”办手续”。凡涉及向境外传输个人信息(含员工信息、客户信息、系统日志中可识别个人的信息),逐一比对六类豁免情形:落入豁免范围的,完善内部留痕后即可放行;不落入的,按规模阈值选择标准合同或认证路径,切勿”裸奔”出境。
第四步,建立年度自查机制。参照《规定》鼓励一般数据处理者至少每3年开展一次风险评估的政策导向,建议企业将个人信息保护影响评估与合规审计自查纳入年度例行工作,与高新技术企业认定、专精特新申报等资质维护动作合并排期,一次材料、多次复用。
五、结语:小企业的合规,正在从”成本项”变成”信用资产”
从2026年8月20日《网络数据安全风险评估办法》施行,到9月1日本《规定》落地,监管层释放的信号非常清晰:数据安全与个人信息保护的执法重心正在从”顶层制度搭建”转向”基层落地检查”,中小企业不再是被遗忘的角落。对处理不满10万人个人信息的企业来说,《规定》给出了全国统一的减负通道和免罚缓冲,主动合规的边际成本已大幅下降;而在招投标、供应链准入、平台入驻、融资尽调等场景中,一份成体系的个人信息保护制度,正日益成为大客户与金融机构评估中小企业的重要信用凭证。
淘橙数智(TopOrange)深耕企业科技服务近二十年,累计服务企业超5000家,其中专精特新”小巨人”企业120家、国家制造业单项冠军企业100家、上市企业客户180家。针对《规定》落地,我们可为企业提供个人信息保护合规自查、数据出境路径设计、合规审计自查表辅导等一体化服务,也可将数据合规体系与企业高新技术企业、专精特新等资质申报统筹规划,一次投入、多重收益。欢迎拨打服务热线 19386680947 或发送邮件至 taochengcy@gmail.com,获取专属合规方案。