应坚守合规底线，但面临专业人员不足、成本承压等现实困难

中小企业如何降低个人信息保护合规成本？新规来了！

近年来，数字经济蓬勃发展，不少沿街商铺、线下小店、中小服务商积极进行数字化转型，但在此过程中个人信息保护问题也给企业带来新挑战。一方面，中小企业应坚守个人信息安全底线；另一方面，中小企业开展个人信息处理活动中面临经营规模小、合规能力弱、专业人员不足、成本承压等现实困难。

近日，国家网信办、公安部联合公布《小型个人信息处理者个人信息保护简化措施规定》（以下简称《规定》），自2026年9月1日起施行。《规定》明确了境内处理不满10万人个人信息的主体即为小型个人信息处理者，精准锁定中小微企业群体，确保简化政策能够真正惠及需要扶持的市场实体。

通过简化措施为中小企业减负

个人信息保护法第五章集中规定了个人信息处理者的义务，其中第五十一条至第五十七条是一般个人信息处理者须履行的义务，第五十八条是提供重要互联网平台服务、用户数量巨大、业务类型复杂的个人信息处理者应当履行的特别义务。

“全面履行此等义务，对于具有一定规模的个人信息处理者而言，是其生产经营成本所能合理负担的，但对于小型个人信息处理者而言，需要通过简化措施进行减负。”中国人民大学法学院吴玉章高级讲席教授、中国法学会网络信息法学研究会副会长兼学术委员会主任张新宝表示。

北京航空航天大学法学院副教授、院长助理赵精武表示，当前，大量中小微企业处理的个人信息远未达到海量级别，却面临着与大型平台几无差别的合规压力。《规定》直指这一矛盾，明确个人信息保护义务的履行方式并非固定不变，而应根据处理者规模、技术能力与风险水平等因素综合判断、动态匹配。这一思路有利于推动企业切实保障用户个人信息权益。

“《规定》的核心创新表现为设置符合中小微企业业务实践特征的实质合规体系。与聚焦于企业是否制定了隐私政策、开展了评估、实施了审计等不同，《规定》更加侧重审视措施的实际效果。正是基于此理念，《规定》为小型个人信息处理者量身设定与自身能力相匹配的简便方式，避免其承担与业务规模、技术水平等客观条件不相称的过高合规成本，折射出宽严相济、安全与发展并重的治理智慧。”赵精武说。

以制度创新提升规则可执行性

赵精武表示，在实践中，大量中小微企业集中于产业园区、商业综合体等区域，经营业态相似、信息处理场景趋同，但每家企业单独制定个人信息处理规则，既面临专业法律文本起草能力不足的现实困难，也容易因理解偏差导致规则质量参差不齐。

针对这一产业特点，《规定》第五条支持园区、产业基地、商业物业等服务管理单位，为其服务管理范围内开展相同线下业务的小型个人信息处理者统一制定并在显著位置公开个人信息处理规则。同意遵守统一个人信息处理规则且在该规则中被列明的小型个人信息处理者，可以不再制定个人信息处理规则。

“以‘一份规则管多家企业’的方式，极大缓解了中小微企业制定专门法律文本的能力不足，避免因为各类企业分别制定个人信息处理规则可能导致的权利告知方式不统一、个人信息保护水平参差不齐等问题。同时，借由服务管理单位的统筹能力，有效提升了个人信息处理规则的规范性和可执行性。”赵精武说。

“《规定》还确定了支持性政策和减免处罚的思路，鼓励履行个人信息保护职责的部门为小型个人信息处理者提供安全便捷个人信息处理的基础设施、技术工具、咨询服务等。同时，《规定》明确，对于违法行为轻微并及时改正，没有造成危害后果等情况的，不予处罚或者从轻减轻处罚，为中小微企业创新发展构建良好的政策环境。”张新宝说。

简化不等于免责，法律底线不可突破

在国家计算机网络应急技术处理协调中心高级工程师王晖看来，简化措施并不意味着小型个人信息处理者可以免除法律责任，《规定》始终坚持“简化不等于免责”的底线思维。首先，核心安全义务不可豁免。例如，发生或可能发生个人信息泄露、篡改、丢失等安全事件时，处理者应当立即采取补救措施并按法律、行政法规规定通知个人和履行个人信息保护职责的部门；确因客观条件限制无法通过其他方式通知个人的，方可采取简便方式通知，且涉嫌犯罪的必须及时向公安机关报案。

其次，针对违法行为，《规定》虽设立了不予处罚、从轻或者减轻处罚的情形，但均附有明确的适用条件，如违法行为轻微并及时改正，没有造成危害后果或主动消除危害后果、主动供述监管部门未掌握的违法行为等。这意味着，处理者需具备积极配合、主动纠错的合规意识与具体行动。

此外，即便属于依法不予处罚的情形，监管部门仍会视情采取约谈、发送提示函等监管措施，确保监管不缺位。特别是《规定》第二十一条明确，网信部门、公安机关和其他履行个人信息保护职责的部门可以采取抽查评估、审计报告等多种形式履行监督检查职责。

“总体而言，《规定》在为中小微企业减负增能的同时，依然坚守了个人信息保护的法治基线，在个人信息权益保护与数字经济健康发展之间形成了更加协调的制度平衡。”王晖说。