不满十万人，能少做哪几件合规事

2026 年 7 月 22 日，国家网信办和公安部一起签发了《小型个人信息处理者个人信息保护简化措施规定》，9 月 1 日起施行。它管的是这样一种企业：手里存着的个人信息，涉及的人头不满 10 万。

这篇说清三件事：哪些企业算在里面、条文允许少做哪几件、哪几件照样不能省。

一、我这种规模算不算在里面

第二条给的线很清楚：处理不满 10 万人个人信息的个人信息处理者，就是这份规定说的小型处理者。

处理者指的是自己决定收什么信息、拿来干什么的那一方。替别人保管数据的仓库、只做录入的外包团队，都站在这一条的主语以外。

一家社区连锁诊所、一个会员制健身房、一份只有自家小程序下单的烘焙店，多数都在这条线以内。

二、这条线按什么数

网信办在《个人信息保护政策法规问答》里给过一句计数方法：法规里出现的「处理超过某某人个人信息」，计数都包含本数，按当前处理个人信息涉及的自然人数量统计，不包括已经删除的个人信息。

包含本数，就是正好 10 万人还没有超出这一档。删干净的那部分不再往里计。

我照这句话读出来的是按人头去重，不是按库里的行数：同一个人既留了手机号又留了住址，只算一个人。这一句请当成我的读法，别当成条文。

真要拿它安排工作，把自己数到的那个数写进材料里，注明哪一天数的、由哪几张名册合出来。

三、四档人头，四种审计频次

《个人信息保护法》第五十四条只说了「定期开展合规审计」这一句。几年一次，是下面这几份文件给的。

你手里涉及多少人	定期审计怎么做	这句话出自哪里
超过 1000 万人	每两年至少一次	合规审计管理办法第四条
超过 100 万、不超过 1000 万人	每三年或四年至少一次	问答里参照的那项国家标准
不超过 100 万人	每五年至少一次	同上
不满 10 万人	至少每五年一次，可用附件自查表	简化措施规定第十三条

四档里只有 1000 万人那一档是规章正文直接写死的频次。中间两档出自网信办问答参照国家标准《数据安全技术 个人信息保护合规审计要求》的那一段。

办法第三条给了另一种省事：自行开展审计的，可以由本企业内部机构做，也可以委托专业机构做。

四、能省的第一件：不必一个人一个人去说

第六条允许只用「公开一份处理规则」这一种方式履行告知义务，要同时满足两个条件。

第一个条件是收的信息都为提供产品或者服务所必需，而且不含敏感个人信息。第二个条件是不向其他处理者提供、也不对外公开，并且这一点要写进规则里。

两个条件都对上，规则本身还要做得看得见：用加粗字体、放大字号或者标不同颜色提示出来，便于查阅和保存。

第四条对线下门店更省事：可以在经营场所醒目位置贴一张公告，就算把规则公开了。线上收信息的，可以走服务协议、客户端弹窗、网站公告那几种方式。

五、能省的第二件：客人主动给了，照规则用就行

第七条写的是门店里天天发生的动作。客人为了拿到你的服务，在已经看过规则的前提下自愿、主动把手机号报给你，你照那份公开规则用就可以，不用再走一遍明示同意。

敏感个人信息不在这一条里。要收人脸、病历、银行卡号那一类，仍然要在规则里讲清为什么要收、对他有什么影响，并且取得本人单独同意。

敏感个人信息说的是泄露之后容易被拿去干坏事的那一类。人脸、声纹、残障身份信息、病症与就诊记录、银行或证券账户的账号密码、连续精准定位轨迹，还有十四周岁以下孩子的信息，都算。

六、能省的第三件：只在一家平台里做生意

第八条给的条件更窄，也更适合只靠小程序收单的店。三个条件要同时成立。

你只在这一家网络平台上处理个人信息，且不向平台以外的其他处理者提供。平台已经针对你这类经营者发布过规则，并和你约定了各自的权利和义务。你声明遵守那份规则，收的信息没超出规则写明的目的、方式和种类。

三条都对上，你可以不再自己写一份规则，也不用自己去履行告知。

同一款还有一句：平台已经做过的合规审计和影响评估，只要覆盖到你依托它开展的那部分处理活动，你可以不再重复做。

超出平台那份规则的范围，就要自己另行制定规则，并把告知、合规审计、影响评估补回来。平台改了规则要及时通知你，你也得重新比一遍。

七、能省的第四件：审计就用附件那张表

第十三条允许按附件《小型个人信息处理者个人信息保护合规审计自查表》的简便方式来做，至少每五年一次，这张表本身要保存至少五年。

合规审计说白了就是照着单子自己查一遍：规则里写的目的和实际收的信息对不对得上，客人查询、更正、删除、注销的入口好不好找，保存期限到了有没有真的删。

第十三条第二款留了一句：处理未成年人个人信息的合规审计，法律、行政法规另有规定的，从其规定。

八、能省的第五件：影响评估换成一张表

第十四条给的是附件里另一张表，《小型个人信息处理者个人信息保护影响评估表》。按这张表的简便方式做评估，做完保存至少三年。

影响评估指的是动手之前先把这件事对客人权益的影响过一遍：为什么要收这个字段，万一泄露会伤到什么程度，准备怎么防。

九、能省的第六件：制度并进现有文件就行

第十五条：可以在组织管理文件里写明个人信息保护内部管理要求、个人信息安全事件应急处置要求，就算建立了管理制度和应急预案。

这一条对只有一两个人管店的企业最实用。把要求写进现有的岗位职责或者门店手册，比买一套模板回来压箱底更容易落地。

十、能省的第七件：联系不上本人时可以贴公告

第十六条：发生或者可能发生个人信息泄露、篡改、丢失，第一件事是立刻采取补救措施，并依照法律、行政法规通知个人。

确因客观条件限制、无法通过其他方式通知到本人的，可以只在经营场所醒目位置张贴公告、在产品服务客户端弹窗、在网站公告，同时按照规定通知履行个人信息保护职责的部门。

涉嫌犯罪的，应当及时向公安机关报案。

补救和通知的顺序不能倒过来。先止血，再通知。贴公告是联系不上人时的退路，不是不去联系客户的借口。

十一、要往境外传数据的，看这一条

第十条列了六种情形，符合其一就免予申报数据出境安全评估、免予订立个人信息标准合同、免予通过个人信息保护认证。

跟小企业最相关的是第五种：关键信息基础设施运营者以外的处理者，从今年 1 月 1 日起算，累计向境外提供不满 10 万人个人信息，且不含敏感个人信息。

另外几种是：为订立或者履行本人作为一方当事人的合同，例如跨境购物、跨境寄递、跨境汇款、机票酒店预订、签证办理、考试服务；按依法制定的劳动规章制度和依法签订的集体合同做跨境人力资源管理，需要传员工信息；紧急情况下为保护人的生命健康和财产安全。

免予那三件事不等于免掉告知。第十条后面写明：向境外提供个人信息的，仍要依照法律、行政法规履行告知、取得个人单独同意等义务。这里说的出境信息不包括重要数据。

小型处理者确实需要出境、依法申请数据出境安全评估的，可以由所在地省级网信部门形成评估结论建议，报国家网信部门核准。

十二、买一张认证，换掉那一次审计

第十七条：支持认证机构针对这一类企业开展认证工作；通过个人信息保护认证的小型处理者，在认证有效期内可以免予开展合规审计。

这笔账要自己算。一次认证的钱，对上每五年一次按表自查的人力，不一定哪一头更省。多数门店自己按表查一遍就够了。

办法第七条那句「鼓励相关专业机构通过认证」说的是审计机构那一头，和第十七条说的不是同一件事，问报价时别混在一起。

十三、这几件省不掉

敏感个人信息那一套照旧。第四条第三款写明：处理不满十四周岁未成年人个人信息的，应当制定专门的个人信息处理规则。

因合并、分立、解散、被宣告破产需要转移个人信息的，第九条要求至少提前 30 个工作日公开接收方的名称或者姓名和联系方式，公开时长不少于 30 个工作日。

停止产品或者服务的，第十二条要求采取必要措施删除个人信息。确无能力删除的，可以向所在地有关主管部门报告并请求帮助；主管部门不明确的，可以向设区的市级网信部门报告。

第二十一条写明：网信部门、公安机关和其他履行个人信息保护职责的部门可以采取抽查评估、审计报告等方式监督检查，企业应当予以配合。

第十一条那句「公开受理部门或者人员及联系方式」看着轻，但客人打进来没人接，这一条就是没做到。

十四、罚则那一头，松了也别指望

第十八条列了应当不予处罚的情形：违法行为轻微并及时改正、没有造成危害后果的；有证据足以证明没有主观过错的。初次违法且危害后果轻微并及时改正的，可以不予处罚。

「有证据」那三个字是关键。不予处罚建立在留痕上：贴出来的公告照片、存下来的自查表、改完的时间记录。

第十九条列了应当从轻或者减轻处罚的情形，其中一条和出事那几天直接有关：及时通知个人和采取补救措施，并主动通知有关部门。

不予处罚不等于没有代价。第十八条最后一款：履行个人信息保护职责的部门应当视情采取约谈、发送提示函等监管措施。

底还在《个人信息保护法》第六十六条。责令改正、给予警告、没收违法所得，违法处理个人信息的应用程序可以被责令暂停或者终止服务；拒不改正的，并处 100 万元以下罚款。

情节更重的一档：由省级以上部门并处 5000 万元以下或者上一年度营业额 5% 以下罚款，可以责令暂停相关业务或者停业整顿，可以通报吊销相关许可或者执照；对直接负责的主管人员和其他直接责任人员处 10 万元以上 100 万元以下罚款。

罚则里真正咬人的是「拒不改正」那四个字。前面那一步只是责令改正、给警告，钱是拒不配合才跟上的。

十五、监管现在盯着的那几件事

2026 年 9 月 20 日，中央网信办秘书局通报 30 款应用的个人信息收集使用问题，检测范围写明含小程序。四类问题是：6 款未公开个人信息收集使用规则，4 款强制或者频繁索要非必要权限，9 款未完整准确列明收集使用个人信息情况，11 款未提供有效账号注销功能。

通报要求自发布之日起 15 个工作日内完成整改，并把整改情况报中央网信办，之后会同有关部门核查处置。

这四类恰好落在简化规定允许省的那几处：一张贴出来的规则、一份查得清的字段清单、一个好找的注销入口。省下来的力气应该补在这里。

9 月 12 日还有一批 75 款移动应用的通报，出自国家计算机病毒应急处理中心的检测，名单里微信小程序和支付宝小程序占比不低。这一条我只见到行业转述，原文名单建议自己去监管发布页取。

十六、回去先做的三步

第一步，把涉及多少自然人算出来，写清是哪一天数的、名册来自哪里。这个数决定你走哪一档。

第二步，把处理规则写成一页纸。第四条列了三项不能缺：你的名字或者姓名，个人行使权利的受理部门或者人员及联系方式，处理目的、处理方式、信息种类和保存期限。

第三步，把附件那两张表拿到手。自查表按第十三条保存至少五年，评估表按第十四条保存至少三年。在架小程序顺手检查注销入口和权限申请那两处。

十七、什么时候这一份用不上

人头过了 10 万，这一份就不再给你省事的余地，回到前面那张表：100 万以下每五年、100 万到 1000 万每三年或四年、超过 1000 万每两年。

办法第十二条另有一句：处理 100 万人以上个人信息的，应当指定个人信息保护负责人，负责合规审计工作。

关键信息基础设施运营者、处理敏感个人信息那一部分，另有更严的规定，不能用这一份去抵。

只在平台上收单的小店，能省的是自己写规则那一件。出事时的补救和通知，还是你自己那一份。

十八、读完要做的一个决定

这篇能替你换掉一个问题。「要不要花钱请人做合规」太宽，换成一句具体的：先数人头，再挑那一档对应的做法。

数出来不满 10 万，附件那两张表就是这一轮该交的活。数出来过了 10 万，要谈的变成指定负责人、几年一次、要不要委托外部机构。

拿去问法律顾问的那一句应该是：我这个数怎么来的、敏感信息有没有混在里面、平台那份规则覆不覆盖我现在收的字段。

十九、条文和数字出自哪里

本篇引的条文来自三份公开文本，都是原文直读。

• 《小型个人信息处理者个人信息保护简化措施规定》，国家网信办、公安部令第 25 号，2026 年 7 月 22 日公布，同年 9 月 1 日施行
• 《个人信息保护合规审计管理办法》，国家网信办令第 18 号，2025 年 5 月 1 日施行
• 《中华人民共和国个人信息保护法》

100 万到 1000 万那一档的「每三年或四年」、100 万以下的「每五年」，出自网信办《个人信息保护政策法规问答》里参照国家标准的那一段。那是问答给的读法，不是规章正文。

9 月 20 日那一次通报，取的是中央网信办秘书局那份通报的全文转载，四类问题各是几款、15 个工作日那一句都在通报正文里。

这一篇讲的是公开义务，不构成对某一家具体生意的法律意见。落地前，拿你数出来的那个数，去问一次属地网信部门或者你的法律顾问。