2026年7月22日，国家互联网信息办公室、中华人民共和国公安部联合公布《小型个人信息处理者个人信息保护简化措施规定》（国家互联网信息办公室、中华人民共和国公安部令第25号，以下简称《规定》），自2026年9月1日起施行。这是《个人信息保护法》第六十二条授权”针对小型个人信息处理者制定专门的个人信息保护规则、标准”之后，首部落地的专门部门规章。
《规定》用一整套简化措施，给处理个人信息不多的企业减负：隐私规则可以最简、告知可以弹窗、跨境小生意免评估认证、合规审计放宽到至少五年一次，初次、轻微的还能容错免罚。它不废止任何上位义务，而是把”怎么做”做轻。
《规定》并非全面松绑，而是在坚守个人信息安全底线前提下，按处理规模做”比例原则”式的减负——它的减负逻辑是把合规成本与”手里在处理的自然人数量”挂钩，而不是与企业营收、员工数或行业挂钩。本文从”谁能减、减在哪、不减什么”三个方面梳理，供企业决策者参考。
一、谁能进”小型处理者”通道：看人数，不看体量
旧格局下，所有个人信息处理者原则上一体适用《个人信息保护法》的全套义务，无论规模大小。
《规定》第二条明确：处理不满10万人个人信息的个人信息处理者，即为”小型个人信息处理者”。这里”不满10万人”不含本数（恰好10万即不属于），按”当前在库、累计涉及的自然人数量”统计，已删除的不算；同一个人在会员、售后、营销里留十条记录，也只算一个人。
实务影响：界定标准与营业额、员工规模、是否集团无关。一家电子产品代工厂营收很大但几乎不碰个人信息，属于小型处理者；一家小微信息企业虽小，但手握十几万用户数据，就不在其列，须回到《个人信息保护法》全套义务。
《规定》对”集团公司用集中系统管全国数据”时，”不满10万人”是按集团整体还是按法人主体分别核算，未给出明确口径；集团公司宜提前按主体逐项确认，避免想当然当”都小”。
二、规则与告知的简化：从”写全套”到”贴一张”
此前，制定并公开个人信息处理规则、履行告知义务，是处理者的基础动作，规则要素要求较全。
《规定》第四条把规则要素压到最低三项：处理者名称或姓名、行权受理部门或人员及联系方式、处理目的方式与种类保存期限。线下可在经营场所张贴公告，线上可弹窗、网站公告（第四条第二款）。
实务影响：三类场景进一步”免写”。园区、商场等物业统一出一份规则，入驻者认了即可不另写（第五条）；仅依托网络平台开店、平台规则已覆盖且未超范围的，可不再另定规则（第八条）；同时符合”非敏感、不对外提供”的，可仅公开规则即视为完成告知（第六条）。
“当前在库”的累计时点、集团合并计算口径，《规定》留有空间；跨境第十条第五项”自当年1月1日起累计向境外提供不满10万人”是个动态阈值，企业宜建立滚动统计，否则易在年中越过线而不自知。
三、跨境与审计的减负：小生意的”轻量合规”
旧规则下，向境外提供个人信息通常要三选一：申报数据出境安全评估、订立标准合同、或通过个人信息保护认证，对小企业是重负担。
《规定》第十条列出六类免予”评估、标准合同、认证”三选一的情形：跨境购物、寄递、汇款、支付、开户、机票酒店、签证、考试等服务合同必需；跨境人力资源管理的员工信息；紧急情况保护生命健康财产；履行法定职责义务；关键信息基础设施运营者以外、当年累计向境外提供不满10万人（不含敏感）的；以及其他法定情形。但重要数据除外（第十条第二款）。
审计方面，第十三条允许用附件《合规审计自查表》简便方式，至少每五年一次，保存五年；通过个人信息保护认证且在有效期内的，第十七条直接免予合规审计。初次、轻微的违法，第十八条还可不予处罚。
合规审计”每五年”的起算时点、”认证机构”的具体名录与收费标准，《规定》未细化；企业宜关注后续配套与认证机构公告，不要误以为”永远不用审”。
四、不减什么：三道底线一个没松
简化是义务履行方式的简化，不是义务的免除。最该提醒企业的是：能减的是”动作成本”，减不掉的是”底线责任”。
三处明确不松：处理不满十四周岁未成年人个人信息的，仍须制定专门规则（第四条第三款）；处理敏感个人信息（健康、金融、行踪等）的，仍须取得单独同意（第七条第二款）；向境外提供的，重要数据不适用第十条豁免，仍须按上位法办理（第十条第二款）。
实务影响：做教培、医疗、金融类小生意的企业，即便人数达标，敏感信息与未成年人这两条仍要把住；碰重要数据的，跨境捷径走不通。
新规的善意是真实的，但它把”省下的功夫”只给到”数据体量小、风险面窄”的企业；风险结构复杂的，该尽的责一点不少。
对企业和投资者的简要建议
企业应先按”当前在库自然人数量”做一次自查，确认是否落入”不满10万人”区间，集团型企业务必按法人主体分别核算而非整体打包；落入的，可立即按《规定》第四条把隐私规则压到三项、用张贴或弹窗方式公开，并对照第十条确认跨境场景能否走免评估通道、是否触达重要数据红线；合规审计改用附件自查表、至少每五年一次，能走认证的可争取有效期内免审；同时把未成年人、敏感信息、重要数据三道底线单列管理，切勿因”简化”而漏掉单独同意与专门规则。建议上述动作在2026年9月1日施行后尽快落地，并以届时监管口径与司法实践为准。
该变化有助于降低中小微企业合规成本，但并未覆盖所有处理场景；”小型处理者”与”应尽底线”的边界仍需分别判断。建议企业在施行节点前确认上述清单，以匹配商业目的与合规要求。
李立律师，上海锦赋律师事务所合伙人 1999年起在上海执业，专注企业、投资与商业法律事务，擅长重大、复杂、新颖、疑难项目的非诉讼法律服务。