当前，大量中小微企业处理的个人信息远未达到海量级别，却面临着与大型平台几无差别的合规压力。7月24日，国家网信办、公安部联合公布《小型个人信息处理者个人信息保护简化措施规定》（下称《规定》），自9月1日起施行。该法规旨在为这一群体履行个人信息保护义务提供简化措施，支持中小微企业创新发展。

国家网信办发文。

　　《规定》首先明确了小型个人信息处理者的定义——处理不满10万人个人信息的个人信息处理者。清华大学法学院教授、中国法学会网络信息法学研究会副会长申卫星撰文提到，实践中，业务范围较为简单的小型线下实体商户、线上店铺等通常属于小型个人信息处理者。

　　从具体内容看，简化个人信息处理的告知方式是“松绑减负”的一大举措。小型个人信息处理者个人信息处理规则被压缩为三类核心信息：名称或者姓名；个人行使权利的受理部门或者人员及联系方式；个人信息的处理目的、处理方式，处理的个人信息种类、保存期限等。公开方式上，小型个人信息处理者线下收集个人信息的，可以通过在经营场所醒目位置张贴公告等简便方式公开个人信息处理规则。

　　此外，《规定》还提出一种“打包合规”路径，即依托服务管理单位或者网络平台履行告知义务。支持园区、产业基地、商业物业等服务管理单位，为其服务管理范围内开展相同线下业务的小型个人信息处理者统一制定并在显著位置公开个人信息处理规则。同意遵守统一个人信息处理规则且在该规则中被列明的小型个人信息处理者，可以不再制定个人信息处理规则。

　　北京航空航天大学法学院副教授、院长助理赵精武撰文指出，在实践中，大量中小微企业集中于产业园区、商业综合体等区域，经营业态相似、信息处理场景趋同，这种以“一份规则管多家企业”的方式，极大缓解了中小微企业制定专门法律文本的能力不足等问题。同时，借由服务管理单位的统筹能力，有效提升了个人信息处理规则的规范性和可执行性。

　　在履行告知、取得个人同意义务方面，有哪些简化措施？《规定》明确同时符合两项条件的，可以仅通过公开个人信息处理规则向个人履行告知义务——（一）处理个人信息（不含敏感个人信息）为提供产品或者服务所必需；（二）不向其他个人信息处理者提供且不对外公开个人信息，并在个人信息处理规则中明示。个人因获取产品或者服务需要，知情、自愿、主动提供个人信息的，小型个人信息处理者可按照公开规则处理其个人信息。

　　《规定》还明确了可以不再制定个人信息处理规则、履行告知义务的特殊情况，小型个人信息处理者需要同时满足以下条件：（一）仅通过网络平台开展个人信息处理活动，且不向网络平台外的其他个人信息处理者提供；（二）网络平台已针对小型个人信息处理者个人信息处理活动，制定发布了相应的个人信息处理规则，并与小型个人信息处理者约定了各自的权利和义务；（三）小型个人信息处理者声明遵守网络平台按照《规定》要求制定的个人信息处理规则，且处理个人信息为提供产品或者服务所必需，未超出前项规则载明的处理目的、处理方式和个人信息种类范围。

　　另外，同时符合上述条件的，网络平台已开展个人信息保护合规审计、个人信息保护影响评估，覆盖小型个人信息处理者依托该网络平台开展的个人信息处理活动的，小型个人信息处理者可以不再重复开展。

　　未来随着简化措施落地，申卫星举例，仅在电商平台内处理个人信息的小型网络店铺，符合相关条件的，可以声明遵守电商平台制定的个人信息处理规则，并据此处理为提供产品或者服务所必需的个人信息；小型健身场所在客户主动提供个人信息以预约健身课程的情况下，可按照公开的个人信息处理规则处理其个人信息；小型诊所可按照已告知患者的个人信息处理目的、方式、种类等，处理患者在知情情况下主动配合提供的医疗健康信息。

　　在数据出境方面，《规定》明确了小型个人信息处理者免予申报数据出境安全评估、订立个人信息标准合同、通过个人信息保护认证的六类情况。具体包括合同订立履行、跨境人力资源管理、解决紧急情况、履行法定职责或义务，以及非关键信息基础设施运营者、且自当年1月1日起累计向境外提供不满10万人个人信息（不含敏感个人信息）等情形。需要注意的是，前款所称向境外提供的个人信息，不包括重要数据。

　　针对小型个人信息处理者的监督管理，《规定》提出不予处罚的情形，包括违法行为轻微并及时改正、没有造成危害后果的，有证据足以证明没有主观过错等。同时，主动消除或者减轻违法行为危害后果的、主动向尚未掌握情况的相关部门上报的、发生事故时及时补救等情形下，应当从轻或者减轻处罚。

　　国家计算机网络应急技术处理协调中心高级工程师王晖在文章中指出，《规定》的发布实施有助于缓解中小微企业面临的合规压力，提升其合规能力和内部治理水平，可在个人信息权益保护与数字经济健康发展之间形成更加协调的制度平衡。