發(fā)文機(jī)關(guān)國家互聯(lián)網(wǎng)信息辦公室,公安部
發(fā)文日期2026年07月22日
時(shí)效性2026年09月01日生效
發(fā)文字號(hào)國家互聯(lián)網(wǎng)信息辦公室、公安部令第25號(hào)
施行日期2026年09月01日
效力級(jí)別部門規(guī)章
《小型個(gè)人信息處理者個(gè)人信息保護(hù)簡化措施規(guī)定》已經(jīng)2026年6月26日國家互聯(lián)網(wǎng)信息辦公室2026年第14次室務(wù)會(huì)會(huì)議審議通過，并經(jīng)公安部同意，現(xiàn)予公布，自2026年9月1日起施行。
國家互聯(lián)網(wǎng)信息辦公室主任 莊榮文
公安部部長 王小洪
2026年7月22日
小型個(gè)人信息處理者個(gè)人信息保護(hù)簡化措施規(guī)定
第一條 為了支持中小微企業(yè)創(chuàng)新發(fā)展，簡化小型個(gè)人信息處理者履行個(gè)人信息保護(hù)義務(wù)的措施，根據(jù)《中華人民共和國個(gè)人信息保護(hù)法》、《網(wǎng)絡(luò)數(shù)據(jù)安全管理?xiàng)l例》等法律、行政法規(guī)，制定本規(guī)定。
第二條 在中華人民共和國境內(nèi)的小型個(gè)人信息處理者實(shí)施個(gè)人信息保護(hù)，適用本規(guī)定。
本規(guī)定所稱小型個(gè)人信息處理者，是指處理不滿10萬人個(gè)人信息的個(gè)人信息處理者。
第三條 支持小型個(gè)人信息處理者在遵守個(gè)人信息保護(hù)相關(guān)法律、行政法規(guī)和國家有關(guān)規(guī)定基礎(chǔ)上，依據(jù)本規(guī)定采取與小型個(gè)人信息處理者規(guī)模、能力等相當(dāng)?shù)暮喕胧┍Ｕ蟼€(gè)人信息安全，保護(hù)個(gè)人信息權(quán)益。
第四條 小型個(gè)人信息處理者個(gè)人信息處理規(guī)則至少應(yīng)當(dāng)包括下列內(nèi)容：
（一）小型個(gè)人信息處理者名稱或者姓名；
（二）個(gè)人行使權(quán)利的受理部門或者人員及聯(lián)系方式；
（三）個(gè)人信息的處理目的、處理方式，處理的個(gè)人信息種類、保存期限等。
小型個(gè)人信息處理者線下收集個(gè)人信息的，可以通過在經(jīng)營場所醒目位置張貼公告等簡便方式公開個(gè)人信息處理規(guī)則；線上收集個(gè)人信息的，可以通過服務(wù)協(xié)議、產(chǎn)品服務(wù)客戶端彈窗和網(wǎng)站公告等方式公開個(gè)人信息處理規(guī)則。
小型個(gè)人信息處理者處理不滿十四周歲未成年人個(gè)人信息的，應(yīng)當(dāng)制定專門的個(gè)人信息處理規(guī)則。
第五條 支持園區(qū)、產(chǎn)業(yè)基地、商業(yè)物業(yè)等服務(wù)管理單位，為其服務(wù)管理范圍內(nèi)開展相同線下業(yè)務(wù)的小型個(gè)人信息處理者統(tǒng)一制定并在顯著位置公開個(gè)人信息處理規(guī)則。同意遵守統(tǒng)一個(gè)人信息處理規(guī)則且在該規(guī)則中被列明的小型個(gè)人信息處理者，可以不再制定個(gè)人信息處理規(guī)則。
第六條 小型個(gè)人信息處理者同時(shí)符合下列條件的，可以僅通過公開個(gè)人信息處理規(guī)則向個(gè)人履行告知義務(wù)，個(gè)人信息處理規(guī)則應(yīng)當(dāng)通過加粗字體、放大字號(hào)、標(biāo)記不同顏色等顯著方式向用戶提示，并便于查閱和保存：
（一）處理個(gè)人信息（不含敏感個(gè)人信息）為提供產(chǎn)品或者服務(wù)所必需；
（二）不向其他個(gè)人信息處理者提供且不對(duì)外公開個(gè)人信息，并在個(gè)人信息處理規(guī)則中明示。
法律、行政法規(guī)、部門規(guī)章對(duì)于小型個(gè)人信息處理者處理敏感個(gè)人信息另有規(guī)定的，從其規(guī)定。
第七條 小型個(gè)人信息處理者公開個(gè)人信息處理規(guī)則并履行告知義務(wù)后，個(gè)人因獲取產(chǎn)品或者服務(wù)需要，在充分知情的前提下自愿、主動(dòng)向或者自愿、主動(dòng)配合小型個(gè)人信息處理者提供獲取產(chǎn)品或者服務(wù)所必需的個(gè)人信息的，小型個(gè)人信息處理者即可按照公開的個(gè)人信息處理規(guī)則處理其個(gè)人信息；為特定目的處理敏感個(gè)人信息的，小型個(gè)人信息處理者應(yīng)當(dāng)在個(gè)人信息處理規(guī)則中告知處理敏感個(gè)人信息的必要性以及對(duì)個(gè)人權(quán)益的影響，取得個(gè)人的單獨(dú)同意。
法律、行政法規(guī)、部門規(guī)章對(duì)于小型個(gè)人信息處理者處理敏感個(gè)人信息另有規(guī)定的，從其規(guī)定。
第八條 同時(shí)符合下列條件的小型個(gè)人信息處理者，可以不再制定個(gè)人信息處理規(guī)則、履行告知義務(wù)：
（一）小型個(gè)人信息處理者僅通過網(wǎng)絡(luò)平臺(tái)開展個(gè)人信息處理活動(dòng)，且不向網(wǎng)絡(luò)平臺(tái)外的其他個(gè)人信息處理者提供；
（二）網(wǎng)絡(luò)平臺(tái)已針對(duì)小型個(gè)人信息處理者個(gè)人信息處理活動(dòng)，制定發(fā)布了相應(yīng)的個(gè)人信息處理規(guī)則，并與小型個(gè)人信息處理者約定了各自的權(quán)利和義務(wù)；
（三）小型個(gè)人信息處理者聲明遵守網(wǎng)絡(luò)平臺(tái)按照本規(guī)定要求制定的個(gè)人信息處理規(guī)則，且處理個(gè)人信息為提供產(chǎn)品或者服務(wù)所必需，未超出前項(xiàng)規(guī)則載明的處理目的、處理方式和個(gè)人信息種類范圍。
符合前款規(guī)定條件的，網(wǎng)絡(luò)平臺(tái)已開展個(gè)人信息保護(hù)合規(guī)審計(jì)、個(gè)人信息保護(hù)影響評(píng)估，覆蓋小型個(gè)人信息處理者依托該網(wǎng)絡(luò)平臺(tái)開展的個(gè)人信息處理活動(dòng)的，小型個(gè)人信息處理者可以不再重復(fù)開展。
小型個(gè)人信息處理者處理個(gè)人信息的目的、處理方式和種類超出網(wǎng)絡(luò)平臺(tái)個(gè)人信息處理規(guī)則范圍的，應(yīng)當(dāng)按照本規(guī)定要求另行制定個(gè)人信息處理規(guī)則并履行告知、合規(guī)審計(jì)和影響評(píng)估義務(wù)。網(wǎng)絡(luò)平臺(tái)調(diào)整個(gè)人信息處理規(guī)則的，應(yīng)當(dāng)及時(shí)通知相關(guān)小型個(gè)人信息處理者。
第九條 小型個(gè)人信息處理者因合并、分立、解散、被宣告破產(chǎn)等原因需要轉(zhuǎn)移個(gè)人信息的，可以通過在經(jīng)營場所醒目位置張貼公告、短信提醒等簡便方式告知接收方的名稱或者姓名以及聯(lián)系方式；自主提供線上產(chǎn)品或者服務(wù)的，還應(yīng)當(dāng)通過其產(chǎn)品服務(wù)客戶端彈窗公告等方式，告知接收方的名稱或者姓名以及聯(lián)系方式；依托網(wǎng)絡(luò)平臺(tái)提供產(chǎn)品或者服務(wù)的，可以通過其在網(wǎng)絡(luò)平臺(tái)內(nèi)的經(jīng)營者頁面公告、小程序公告等方式告知。
小型個(gè)人信息處理者應(yīng)當(dāng)至少提前30個(gè)工作日公開發(fā)布前款規(guī)定的告知事項(xiàng)，公開時(shí)長不少于30個(gè)工作日。
第十條 小型個(gè)人信息處理者向境外提供個(gè)人信息，符合下列條件之一的，免予申報(bào)數(shù)據(jù)出境安全評(píng)估、訂立個(gè)人信息標(biāo)準(zhǔn)合同、通過個(gè)人信息保護(hù)認(rèn)證：
（一）為訂立、履行個(gè)人作為一方當(dāng)事人的合同，如跨境購物、跨境寄遞、跨境匯款、跨境支付、跨境開戶、機(jī)票酒店預(yù)訂、簽證辦理、考試服務(wù)等，確需向境外提供個(gè)人信息的；
（二）按照依法制定的勞動(dòng)規(guī)章制度和依法簽訂的集體合同實(shí)施跨境人力資源管理，確需向境外提供員工個(gè)人信息的；
（三）緊急情況下為保護(hù)自然人的生命健康和財(cái)產(chǎn)安全，確需向境外提供個(gè)人信息的；
（四）為履行法定職責(zé)或者法定義務(wù)，確需向境外提供個(gè)人信息的；
（五）關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營者以外的個(gè)人信息處理者自當(dāng)年1月1日起累計(jì)向境外提供不滿10萬人個(gè)人信息（不含敏感個(gè)人信息）的；
（六）法律、行政法規(guī)或者國家網(wǎng)信部門規(guī)定的其他條件。
前款所稱向境外提供的個(gè)人信息，不包括重要數(shù)據(jù)。
小型個(gè)人信息處理者向境外提供個(gè)人信息的，應(yīng)當(dāng)按照法律、行政法規(guī)的規(guī)定履行告知、取得個(gè)人單獨(dú)同意等義務(wù)。
小型個(gè)人信息處理者確需向中華人民共和國境外提供個(gè)人信息，依法向網(wǎng)信部門申請(qǐng)數(shù)據(jù)出境安全評(píng)估的，可以由所在地省級(jí)網(wǎng)信部門形成評(píng)估結(jié)論建議并報(bào)國家網(wǎng)信部門核準(zhǔn)。
鼓勵(lì)履行個(gè)人信息保護(hù)職責(zé)的部門、數(shù)據(jù)跨境服務(wù)中心等，為小型個(gè)人信息處理者個(gè)人信息出境提供咨詢等服務(wù)。
第十一條 小型個(gè)人信息處理者可以通過公開個(gè)人行使權(quán)利的受理部門或者人員及聯(lián)系方式，建立個(gè)人行使在個(gè)人信息處理活動(dòng)中權(quán)利的申請(qǐng)受理和處置機(jī)制。
第十二條 停止產(chǎn)品或者服務(wù)的小型個(gè)人信息處理者應(yīng)當(dāng)采取必要措施刪除個(gè)人信息，確無能力刪除個(gè)人信息的，可以向所在地有關(guān)主管部門報(bào)告并請(qǐng)求提供幫助；主管部門不明確的，可以向所在地設(shè)區(qū)的市級(jí)網(wǎng)信部門報(bào)告。
第十三條 小型個(gè)人信息處理者可以按照本規(guī)定附件《小型個(gè)人信息處理者個(gè)人信息保護(hù)合規(guī)審計(jì)自查表》的簡便方式，至少每五年開展一次個(gè)人信息保護(hù)合規(guī)審計(jì)，并保存合規(guī)審計(jì)自查表至少五年。
法律、行政法規(guī)對(duì)于處理未成年人個(gè)人信息的合規(guī)審計(jì)另有規(guī)定的，從其規(guī)定。
第十四條 小型個(gè)人信息處理者可以按照本規(guī)定附件《小型個(gè)人信息處理者個(gè)人信息保護(hù)影響評(píng)估表》的簡便方式開展個(gè)人信息保護(hù)影響評(píng)估，并保存影響評(píng)估表至少三年。
第十五條 小型個(gè)人信息處理者可以通過在組織管理文件中明確個(gè)人信息保護(hù)內(nèi)部管理要求、個(gè)人信息安全事件應(yīng)急處置要求等簡便方式，建立個(gè)人信息保護(hù)管理制度、個(gè)人信息安全事件應(yīng)急預(yù)案。
第十六條 發(fā)生或者可能發(fā)生個(gè)人信息泄露、篡改、丟失的，小型個(gè)人信息處理者應(yīng)當(dāng)立即采取補(bǔ)救措施，依照法律、行政法規(guī)規(guī)定通知個(gè)人，確因客觀條件限制無法通過其他方式通知個(gè)人的，可以僅通過在經(jīng)營場所醒目位置張貼公告、在產(chǎn)品服務(wù)客戶端彈窗和網(wǎng)站公告等簡便方式通知個(gè)人，并按照規(guī)定通知履行個(gè)人信息保護(hù)職責(zé)的部門；涉嫌犯罪的，應(yīng)當(dāng)及時(shí)向公安機(jī)關(guān)報(bào)案。
第十七條 支持個(gè)人信息保護(hù)認(rèn)證機(jī)構(gòu)針對(duì)小型個(gè)人信息處理者開展認(rèn)證工作，提高服務(wù)質(zhì)量。
通過個(gè)人信息保護(hù)認(rèn)證的小型個(gè)人信息處理者，在認(rèn)證有效期內(nèi)可以免予開展個(gè)人信息保護(hù)合規(guī)審計(jì)。
第十八條 小型個(gè)人信息處理者開展個(gè)人信息處理活動(dòng)有下列情形之一的，應(yīng)當(dāng)不予處罰：
（一）違法行為輕微并及時(shí)改正，沒有造成危害后果的；
（二）有證據(jù)足以證明沒有主觀過錯(cuò)的，法律、行政法規(guī)另有規(guī)定的，從其規(guī)定；
（三）其他依法不予處罰的情形。
小型個(gè)人信息處理者開展個(gè)人信息處理活動(dòng)，初次違法且危害后果輕微并及時(shí)改正的，可以不予處罰。
依法不予處罰的，履行個(gè)人信息保護(hù)職責(zé)的部門應(yīng)當(dāng)視情采取約談、發(fā)送提示函等監(jiān)管措施。
第十九條 小型個(gè)人信息處理者開展個(gè)人信息處理活動(dòng)有下列情形之一的，應(yīng)當(dāng)從輕或者減輕處罰：
（一）主動(dòng)消除或者減輕違法行為危害后果的；
（二）主動(dòng)供述履行個(gè)人信息保護(hù)職責(zé)的部門尚未掌握的違法行為的；
（三）發(fā)生個(gè)人信息安全事件時(shí)，及時(shí)通知個(gè)人和采取補(bǔ)救措施，并主動(dòng)通知有關(guān)部門的；
（四）配合履行個(gè)人信息保護(hù)職責(zé)的部門查處違法行為有立功表現(xiàn)的；
（五）其他依法從輕或者減輕處罰的情形。
第二十條 支持企業(yè)、相關(guān)社會(huì)組織、專業(yè)機(jī)構(gòu)等通過組織培訓(xùn)、講座、普法活動(dòng)、咨詢輔導(dǎo)等方式，幫助小型個(gè)人信息處理者提升個(gè)人信息保護(hù)能力水平。
鼓勵(lì)履行個(gè)人信息保護(hù)職責(zé)的部門為小型個(gè)人信息處理者提供安全便捷個(gè)人信息處理的基礎(chǔ)設(shè)施、技術(shù)工具、咨詢服務(wù)等，降低小型個(gè)人信息處理者合規(guī)成本。
第二十一條 網(wǎng)信部門、公安機(jī)關(guān)和其他履行個(gè)人信息保護(hù)職責(zé)的部門可以采取抽查評(píng)估、審計(jì)報(bào)告等方式對(duì)小型個(gè)人信息處理者履行個(gè)人信息保護(hù)義務(wù)情況進(jìn)行監(jiān)督檢查，小型個(gè)人信息處理者應(yīng)當(dāng)予以配合。
網(wǎng)信部門、公安機(jī)關(guān)和其他履行個(gè)人信息保護(hù)職責(zé)的部門發(fā)現(xiàn)小型個(gè)人信息處理者違法處理個(gè)人信息、多次發(fā)生個(gè)人信息安全事件的，應(yīng)當(dāng)依照《中華人民共和國個(gè)人信息保護(hù)法》、《網(wǎng)絡(luò)數(shù)據(jù)安全管理?xiàng)l例》等有關(guān)法律、行政法規(guī)予以處理，依照有關(guān)法律、行政法規(guī)的規(guī)定記入信用檔案，并予以公示。
第二十二條 本規(guī)定自2026年9月1日起施行。
附件：
附件1.小型個(gè)人信息處理者個(gè)人信息保護(hù)合規(guī)審計(jì)自查表
附件2.小型個(gè)人信息處理者個(gè)人信息保護(hù)影響評(píng)估表
