小型个人信息处理者个人信息保护简化措施规定：适用条件与保留义务

简化履行方式，不是普遍免责

国家网信办与公安部第25号令署期为2026年7月22日，国家网信办公布通知发表于7月24日。第二十二条明确自2026年9月1日起施行。这是正式部门规章，不是4月征求意见稿。7月28日商务部官方转载提供完整中文规定，该转载日期并不代表另一施行日期。

阅读时应区分义务本身、履行义务的简便方式，以及满足专门条件后才能适用的减免。政策文本变短，告知仍需有实际内容；评估表变简，评估仍需开展；企业在平台开了账户，也不等于当然受到平台审计与评估的覆盖。

人数门槛应对应真实处理活动

第二条适用于境内小型个人信息处理者，并将其界定为处理不满10万人个人信息的处理者。恰好10万人不符合这一界定。判断不是看员工人数、营业额或工商登记规模。第二条并未规定其规模门槛在每年1月1日重置，不能将第十条的年度出境累计口径直接套入第二条。

作为内部证据管理方法，应记录处理者主体、纳入统计的系统和人员、统计日期、重复记录及待确认数据，并说明为何统计的是自然人而非登录账户或订单。以下仅演示门槛边界，不构成官方计数方法。数据集、业务或集团责任分工变化时，应重新核对适用情况。

告知与平台覆盖应符合实际业务

第四条仍要求说明处理者身份、个人权利受理联系方式、处理目的与方式、信息种类及保存期限。处理不满十四周岁未成年人信息，还需制定专门规则。第六条仅以公开规则履行告知的方式具有累积条件，包括必要的非敏感信息，以及不向其他处理者提供或公开；规则须显著、便于查阅和保存，并非放置一个隐蔽的网站链接即可。

第七条针对完成告知后，个人充分知情、自愿且主动提供获取服务所必需信息的情形。不能将其理解为对无关营销或敏感信息收集的概括授权。涉及敏感信息时，该条保留对必要性、权益影响的告知及单独同意，并要求遵守其他适用规定。

第八条强调实际覆盖：活动仅通过平台开展，不向平台外其他处理者提供；平台须针对活动发布规则并约定各自权利义务；小型处理者须遵守规则，不超出目的、方式和信息种类范围。审计或影响评估只有在平台实际开展且覆盖该活动时，才可避免重复开展。

区分审计周期与评估触发

规定降低部分记录的形式负担，但并未取消风险判断。第十三条允许以自查表简便开展审计，至少每五年一次，自查表至少保存五年；法律、行政法规对未成年人信息审计另有规定的，从其规定。第十四条允许简便的影响评估表，至少保存三年，但并未将《个人信息保护法》的事前评估触发条件改为五年一次。

规模较小不等于数据可自由出境

第十条列出安全评估、标准合同和认证机制的六类豁免依据：履行个人合同所必需、符合条件的跨境人力资源管理、保护生命健康或财产的紧急情况、履行法定职责或义务所必需、特定非关键信息基础设施运营者年度累计出境不满10万人非敏感信息，以及其他法定条件。应核对实际采用路径的条件，而非只记住类别名称。

这些豁免不包括重要数据。非关键信息基础设施运营者的人数路径排除敏感个人信息，并自当年1月1日起累计。依法告知、单独同意等义务仍须核对履行。5万条客户记录或供应商承诺安全，都不足以单独证明机制豁免。建议分别记录数据、接收方、必要性、选用的法律路径及保留的安全义务。

小型处理者确需申请安全评估时，第十条还允许省级网信部门形成评估结论建议并报国家网信部门核准。这是办理安排，并非允许企业自行批准出境。实际申请仍应使用现行申报要求和主管部门渠道。

保留精简但真正可执行的证据

下表是本站原创工作检查，不是官方附件表格的复制。建议为每项指定负责人和证据位置，不能将勾选表本身当成合规证明。第二十一条保留监督检查及配合义务。第十八、十九条涉及特定情形的处罚处理，并不允许先处理数据、收到投诉后再判断是否合法。

假设案例：平台商家增加站外客户管理系统

假设境内商家涉及4万人，仅通过一个平台经营，且有依据证明平台规则及已完成评估覆盖订单履行。现在商家拟向平台外另一处理者提供买家联系方式，开展促销。其规模可能仍低于门槛，但拟议活动与仅在平台内开展活动的覆盖条件冲突，也可能超出原先目的。

应先暂停新增用途，查明双方角色、合法处理基础、告知、必要同意和事前影响评估；更新证据文件，若服务商在境外，还需核对境外访问或提供情形。结论既不是“小商家不能用客户管理系统”，也不是“4万人当然豁免”，而是规模条件与具体活动条件必须分开判断。

使用正式规定，不夸大版本比较

当前工作应以正式第25号令及其两份官方附件为依据。此前征求意见材料用于理解制定过程，而非替代现行文本。本页解读正式条文，不声称完成全部草案或附件字段的逐项对比。官方表格请通过所链接的全文转载页面获取，不应用本站工作表代替。

建议先形成范围说明，只选择能够证明满足条件的简化措施，再落实保留义务，最后设置人数增长、敏感信息、未成年人、平台外活动和数据出境等复核节点。这样，减少文书才是有依据的选择，而不是未经核实的假设。

官方来源与修订

• 国家网信办、公安部：2026年7月24日公布通知
• 第25号令第一至八条：范围、告知与平台覆盖（商务部官方转载）
• 第25号令第九至十七、二十一至二十二条：转移、记录、安全义务与施行
• 《个人信息保护法》第十三、二十八至三十一、五十五至五十六条：合法基础、敏感信息与事前评估

2026-09-11: 将既有法规记录深化为双语正式规则解读，补充资格、平台覆盖、审计与评估矩阵、保留义务检查及明确标注的假设案例。交叉核对国家网信办公布通知与官方全文转载，不声称完成完整附件红线对比。

示例与工作表为本站原创研究辅助材料，并非官方表格或法律意见。

继续研究

• 个人信息保护影响评估：触发、证据与结论
• 合规审计：范围、周期与整改
• 7月数据出境问答与续期计算示例