一千万人这道线，企业要不要申报

很多老板听到一千万人，第一反应是我们公司没有这么多用户。

但这份稿子数的是个人信息，不是注册账号。一个家长给孩子报名，填了孩子和两位家长的信息，可能就是三条。

医院、学校、物业、连锁门店、招聘平台、智能硬件，都可能在不声不响中过线。

这不是已经生效的规矩。2026 年 8 月 7 日，国家网信办把它放出来征求意见，反馈到 9 月 7 日截止。下面说的是这一版稿子里的写法，正式稿可能变。

一、一千万人这道线，先别急着说和自己无关

个人信息处理者，就是决定收集哪些个人信息、拿来做什么、交给谁的那个单位。

这个单位可以是公司，也可以是医院、学校、物业或者政府部门。

只要你在决定怎么用这些信息，就不只是替别人存一下。

稿子把认定条件写成三条，一千万人只是其中一条。

二、这份稿子从哪来

它不是突然冒出来的。前面有两份稿子，一份管大型网络平台设监督委员会，一份管大型网络平台的个人信息保护。

2026 年 8 月，两份合成一份，名字从「大型网络平台」改成「大型个人信息处理者」。

名字一改，范围就宽了。原来盯的是平台，现在盯的是处理行为。模型训练、智能终端、线下连锁，只要大量处理个人信息，都可能被纳进来。

为什么要改？因为很多公司不是平台，但手里的个人信息比平台还多。

三、认定不是自动的：三个条件一起看

稿子第二条写了三个条件。

条件	什么意思	企业要准备什么
处理一千万人以上自然人个人信息	不是账号数，是涉及的自然人数	能按人去重的人数台账
提供涉及个人信息处理的重要网络服务，或者经营范围涵盖多种业务	服务重要，或者业务面宽	服务清单与业务说明
处理活动对国家安全、经济运行、社会稳定、公共健康和安全有重要影响	影响面判断	自评估材料

满足第一项，并且自评估认为符合后两项的企业，要主动申报。

这里有个常见误读：过了一千万人，不等于自动被认定。要申报，要经省级网信部门查验，最后由国家网信部门确定名单并公告。

但反过来也不能拖。稿子写了，监管部门认为符合条件却没申报的，可以督促申报。

四、人头怎么数：账号不等于人

第一件要做的，是把人头数清楚。

一个人可能有两个手机号、三个账号、四台设备。按账号算，数字会虚高；按身份证算，又可能漏掉没有身份证的用户。

可行的做法是定一套去重规则：手机号、身份证号、设备号，按可信程度排优先级，能合并的合并，不能合并的单独标出来。

还要写清统计范围：是只算自己直接收集的，还是把合作方、子公司、收购来的业务一起算。稿子没有把每一层都写死，但申报时肯定要说明。

人数不是算一次就完了。业务在长，今天九百万，明年可能就过线。

五、委员会不是挂名：七个人里至少五个外部

被认定之后，六个月内要设一个个人信息保护监督委员会。

人数不少于七人，外部成员不低于三分之二。按七个人算，至少五个来自公司外面。

外部成员要有独立性。稿子要求他们对敏感信息处理、数据出境、自动化决策这些大事提出意见，并且能独立监督。

委员会不是顾问团。企业要给它材料、给它会议、给它记录，还要对提出的问题给答复。

对中小企业来说，找五个既懂个人信息保护、又愿意签字承担责任的外部人，不比做一次审计容易。

六、单独同意要落在哪几类事

稿子把几类处理活动单独拎出来：处理敏感个人信息、向境外提供、向其他处理者提供、公开个人信息。

这几类都要取得单独同意。单独同意就是不为别的事情打包，只为这一件事问一次，用户同意才做。

不能在一大段协议里加一行就算完，要让用户清楚地知道这一件事，并单独做出选择。

敏感个人信息包括生物识别、医疗健康、金融账户、行踪轨迹，以及不满十四周岁未成年人的信息。

向其他处理者提供，常见的是把数据交给广告服务商、短信服务商、数据分析公司。公开，常见的是把用户信息展示在页面上。

每一类都要有单独的勾选、单独的说明、单独的撤回入口。

七、个性化推荐要能一键关掉

稿子要求给用户一个清楚的开关，关掉之后不能再按他的行为推内容。

一键关掉的意思是，用户不用找客服、不用发邮件、不用等三天。在设置里点一下就能关。

关掉之后，推荐不能立刻变成完全随机，但不能再拿他的浏览记录、购买记录、位置去做判断。

这一条很多公司以为自己做到了，真去点一遍才发现，开关藏在三层菜单里，关了还会继续推。

八、删除和带走：十五个工作日与三十个工作日

用户要求删除个人信息，稿子给的答复时限是十五个工作日。

用户要求把信息转给另一个服务商，符合条件的，要在三十个工作日内完成。

这两个时限比很多公司的内部流程短。客服收到请求，转给法务，法务转给技术，技术排期，一圈下来一个月就过去了。

要提前把流程做出来：谁收请求、怎么核身份、哪些数据能删、哪些要留、删完怎么回复。

删除不是把一条记录改个标记。备份里、日志里、分析库里的副本，也要有处理办法。

九、合规审计至少两年一次

被认定的大型处理者，每两年至少做一次个人信息保护合规审计。

审计不是自己写一份自查报告。稿子要求按规定的办法做，要有审计记录和整改结果。

两年一次是最低要求。处理敏感信息多、出过事、或者业务变化大的，频次应该更高。

看一份审计有没有用，要看它有没有指出具体问题，有没有人负责改，改完有没有复查。

十、年度报告写给谁看

稿子要求每年发布个人信息保护社会责任报告。

报告不是只给监管看的。用户、合作方、应聘的人，都可能拿它来判断这家公司靠不靠谱。

报告里至少要有一年的处理规模、出了哪些事、怎么处理、整改了什么、委员会开了几次会。

不要写成宣传册。只写成绩不写问题，第二年就没人信了。

十一、平台上的第三方，出事先停服务

如果企业运营的是一个平台，平台里的商家、小程序、服务商在处理个人信息时违规，稿子要求平台先停止服务，并向监管部门报告。

这条比过去重。过去平台常说自己只是提供工具，现在要承担更直接的连带责任。

平台要做三件事：入驻时审一遍、运行中查一遍、出事时能停得下来。

停服务不是把整个平台关掉，而是能只停那一家的接口、店铺或者小程序。

十二、SDK 清单为什么被写进条文

SDK 是一段装进应用里的第三方程序，常见的有统计、推送、支付、地图、广告。

它跑在你的应用里，能拿到你的用户信息，但用户看不到它。

稿子要求处理规则以结构化清单逐项列明信息种类、目的、方式，以及接入的 SDK。

这意味着公司要有一份能更新的 SDK 清单：谁接的、什么时候接的、拿了哪些信息、传到哪去、有没有合同。

很多公司连自己装了多少个 SDK 都说不清。这件事不用等正式稿，今天就能查。

十三、和小公司那一份是什么关系

2026 年 7 月 22 日，国家网信办和公安部发布了《小型个人信息处理者个人信息保护简化措施规定》，9 月 1 日已经施行。它管的是处理不满十万人信息的企业，给的是减法。

这一份管的是大型处理者，给的是加法。两份放在一起，方向很清楚：小的尽量简化，大的从严管。

处在中间的企业，不会两头都不管。个人信息保护法的一般义务还在，只是没有这两份专门的加减法。

所以不要拿「我们不到一千万」当理由什么都不做。先按一般义务把该做的做了。

十四、现在能做的五件事

第一，数人头。按去重规则算一遍，写清统计范围，留下计算过程。

第二，列 SDK。把应用里装的第三方程序列出来，逐个问清楚拿什么、传哪里。

第三，查同意。把敏感信息、对外提供、公开、出境这几类找出来，看有没有单独同意和撤回入口。

第四，走一遍用户请求。自己提一次删除、一次转移、一次关闭推荐，看多久能办完。

第五，定人。谁负责个人信息保护，谁对接监管，谁在委员会里说话，名字要落到纸上。

十五、哪些行业最可能先被点到

第一类是用户量大的互联网服务，社交、电商、出行、招聘、内容。

第二类是掌握敏感信息的行业，医院、体检、保险、银行、消费金融。

第三类是学校、培训机构和物业，家长、学生、住户的信息往往被反复收集。

第四类是智能硬件和汽车，设备采集的位置、语音、影像，都会落到个人信息上。

第五类是给上面这些行业做服务的公司，短信、支付、数据分析、客服系统。

行业不是判定的唯一标准，但会影响监管先看谁。

十六、等正式稿出来，先看哪三处

第一，一千万人的数字有没有变，统计范围有没有写得更细。

第二，监督委员会的组成和独立性要求有没有加严，外部成员怎么选有没有说清。

第三，申报和认定的流程有没有时限，没申报会怎么处理。

这三处一变，企业要准备的材料和工作量都会跟着变。

十七、这一轮的决定

这份稿子还在征求意见，但方向已经很清楚：用户规模到了一定量级，个人信息保护要从「有制度」走到「有人管、能验证、可追责」。

现在不用急着成立委员会，但可以先数人头、列 SDK、走一遍用户请求。

这三件事做完，正式稿出来时，企业会少慌很多。