Full text · 原文
2,761 字
近年来，数字经济蓬勃发展，中小微企业已成为推动创新的重要力量。为深入贯彻落实党的二十大关于加强个人信息保护、支持中小微企业发展的部署要求，国家网信办会同公安部，依据《个人信息保护法》第六十二条，制定了《小型个人信息处理者个人信息保护简化措施规定》（以下简称《规定》）。《规定》的出台具有清晰的立法逻辑，核心在于“分类施策、繁简分流”。在统筹发展和安全的框架下，贯彻比例原则与风险导向，根据处理规模、处理活动复杂程度及风险水平实施差异化监管。《规定》既是对《个人信息保护法》相关要求的细化落实，也是通过完善制度供给降低中小微企业合规成本，为中小微企业创新发展营造良好政策环境、激发数字经济市场活力的务实安排。<br>
一、小型个人信息处理者定义范围界定<br>
科学合理界定适用主体，是落实简化措施的前提。《规定》第二条明确界定了小型个人信息处理者的定义范围，兼具务实性与科学性。<br>
首先，“处理不满10万人”的标准契合小型个人信息处理者个人信息处理量较小、处理活动相对简单的特征，同时参考国内外相关制度经验，以处理数量作为核心量化指标，使认定标准清晰明确，便于执行操作。<br>
其次，明确了空间适用效力，即在中华人民共和国境内的小型个人信息处理者实施个人信息保护，适用本规定。《规定》第三条强调小型个人信息处理者应采取与其规模、能力等相当的简化措施保障个人信息安全，保护个人信息权益，把握“相当的”这一关键词，也为后续监管明确了核心准则。<br>
此外，通过划定10万人这一基准线，《规定》精准锁定中小微企业群体，确保简化政策能够真正惠及需要扶持的市场实体，在降低合规成本的同时，维持了个人信息保护的安全基准水平。需要明确的是，“10万人”是当前累计处理10万自然人的个人信息，不包括已删除的个人信息。<br>
二、多维度简化合规程序，助力降低制度成本<br>
《规定》从告知公示、知情同意、合规审计、影响评估、内部管理、数据出境等多个维度，构建了更具系统性、适配性与操作性的简化措施，核心在于推动个人信息保护措施与处理规模、风险程度、管理能力相匹配，切实降低中小微企业的制度性成本。<br>
首先，在处理规则与告知程序上，允许符合条件的处理者通过公开个人信息处理规则履行告知义务；特别是对于符合条件的依托网络平台开展业务的小型个人信息处理者，在平台已制定规则且其声明遵守的前提下，可不再单独制定规则和重复履行告知义务，在符合条件的情况下，还可以豁免重复的合规审计与影响评估。<br>
其次，在合规审计与影响评估方面，引入《小型个人信息处理者个人信息保护合规审计自查表》与《小型个人信息处理者个人信息保护影响评估表》作为便捷指引，大幅降低了企业的合规成本。<br>
再次，在内部制度构建层面，允许通过在现有组织管理文件中明确个人信息保护内部管理要求、个人信息安全事件应急处置要求的简便方式，替代单独制定独立的管理制度与应急预案。<br>
此外，在个人信息转移等低频复杂场景，以及发生个人信息安全事件因客观条件限制无法采取其他方式告知等情形，允许采取张贴公告、客户端弹窗等灵活简便方式履行告知等义务，兼顾个人信息主体权益与中小微企业运营承载能力。《规定》打出全方位降低合规成本的“组合拳”，助力中小微企业将更多资源投入业务经营与创新发展。<br>
三、立足纾困减负，通过制度创新推动精准服务<br>
《规定》的出台锚定民营经济发展方向，精准回应中小微企业的急难愁盼问题，是国家在数字经济治理领域统筹发展和安全、推动企业规范健康发展的生动法治实践，其立足中小微企业需求，依托制度减负为经营主体纾困解难。<br>
首先，《规定》直面中小微企业技术、资金能力有限的核心困局，通过制度创新实现精准纾困。《规定》通过一系列差异化、便利化措施，简化部分告知义务，适当降低合规审计频次，并以提供自查工具、强化平台支持等方式，降低中小微企业的制度性成本。该“轻装前行”的纾困模式，可有效防范过度监管抑制创新的问题。例如初次违法且危害后果轻微并及时改正的可以不予处罚，通过个人信息保护认证的小型个人信息处理者在认证有效期内可以免予开展个人信息保护合规审计，均为直面问题、针对性较强的制度设计。<br>
其次，《规定》在精准纾困的基础上，进一步通过配套支持提升中小微企业的合规能力，引导其实现规范健康发展。《规定》鼓励履行个人信息保护职责的部门为小型个人信息处理者提供安全便捷个人信息处理的基础设施、技术工具与咨询服务；发挥专业机构的桥梁作用，鼓励数据跨境服务中心为小型个人信息处理者的个人信息出境提供咨询等服务。上述举措可有效弥补中小微企业在专业人才、技术工具与合规资源方面的短板，引导其合理配置有限的合规资源，重点完善安全事件应急响应、个人信息泄露防范等关键环节建设，逐步培育合规意识与内部治理能力，推动中小微企业向主动合规治理转变。<br>
此外，《规定》兼顾了多项技术细节，体现了精准服务意识。第六条中对告知采取的显著方式进行了列举，加粗字体、放大字号、标记不同颜色等，为中小微企业提供详细和具体的指引。第四条中对公开个人信息处理规则的方式进行了列举，可以通过服务协议、产品服务客户端弹窗和网站公告等多种方式，供中小微企业自由选择。<br>
四、简化不等于免责，法律底线不可突破<br>
需要明确的是，简化措施并不意味着小型个人信息处理者可以免除法律责任，《规定》始终坚持“简化不等于免责”的底线思维。<br>
首先，核心安全义务不可豁免。例如，发生或可能发生个人信息泄露、篡改、丢失等安全事件时，处理者应当立即采取补救措施并按法律、行政法规规定通知个人和履行个人信息保护职责的部门；确因客观条件限制无法通过其他方式通知个人的，方可采取简便方式通知，且涉嫌犯罪的必须及时向公安机关报案。<br>
其次，针对违法行为，《规定》虽设立了不予处罚、从轻或者减轻处罚的情形，但均附有明确的适用条件，如违法行为轻微并及时改正，没有造成危害后果或主动消除危害后果、主动供述监管部门未掌握的违法行为等。这意味着，处理者需具备积极配合、主动纠错的合规意识与具体行动。<br>
此外，即便属于依法不予处罚的情形，监管部门仍会视情采取约谈、发送提示函等监管措施，确保监管不缺位。特别是在第二十一条中明确，网信部门、公安机关和其他履行个人信息保护职责的部门可以采取抽查评估、审计报告等多种形式履行监督检查职责。总体而言，《规定》在为中小微企业减负增能的同时，依然坚守了个人信息保护的法治基线。<br>
综上，《规定》通过宽严相济、繁简适度的制度设计，在降低小型个人信息处理者合规成本的同时，提升个人信息保护工作效能。《规定》的发布实施有助于缓解中小微企业面临的合规压力，提升其合规能力和内部治理水平，可在个人信息权益保护与数字经济健康发展之间形成更加协调的制度平衡。（作者：王晖，国家计算机网络应急技术处理协调中心高级工程师）