近日，国家网信办、公安部联合公布《小型个人信息处理者个人信息保护简化措施规定》（以下简称《规定》），针对小型个人信息处理者制定专门的个人信息保护规则，为小型个人信息处理者履行个人信息保护法律法规义务提供简化措施，支持中小微企业创新发展。

一、制定依据及其利益平衡考量

《个人信息保护法》的立法目的在于保护自然人的个人信息权益，规范个人信息处理活动，促进个人信息合理利用。个人信息权益保护与合理利用个人信息之间的矛盾是个人信息保护法所要解决的基本问题：十分严格的个人信息权益保护势必影响处理者合理利用个人信息，包括某些个人信息难以被利用以及利用个人信息产生过高的成本（包括合规成本），继而使得个人信息处理者利用个人信息数据的创新能力和经济效益受到限制。因此，个人信息保护法律制度通过规定处理个人信息的原则和合法性基础等规则、个人信息处理者的义务、个人在个人信息处理中的权利、保护个人信息的国家机关及其职责和相关法律责任等，对个人信息权益给予符合本国法治水平的保护，同时给个人信息处理留下适度空间，并保护个人信息处理者基于个人信息处理而产生的财产权益。

《个人信息保护法》第五章集中规定了个人信息处理者的义务，其中第五十一条至第五十七条是一般个人信息处理者须履行的义务，第五十八条是提供重要互联网平台服务、用户数量巨大、业务类型复杂的个人信息处理者应当履行的特别义务。全面履行此等义务，对于具有一定规模的个人信息处理者而言，是其生产经营成本所能合理负担的，但是对于小型个人信息处理者而言，需要通过简化措施进行减负。基于此等利益衡量，《个人信息保护法》第六十二条第一款第二项规定：“国家网信部门统筹协调有关部门依据本法推进下列个人信息保护工作：（二）针对小型个人信息处理者、处理敏感个人信息以及人脸识别、人工智能等新技术、新应用，制定专门的个人信息保护规则、标准。”立法授权国家网信办统筹协调有关部门制定本《规定》。

二、适用对象与适用地域

（一）小型个人信息处理者的界定

《规定》适用于小型个人信息处理者处理个人信息的活动。首先，小型个人信息处理者也是个人信息处理者，是在个人信息处理活动中自主决定处理目的、处理方式的组织、个人。其次，需要强调的是小型个人信息处理者的本质属性。《规定》对小型个人信息处理者进行了界定：“本规定所称小型个人信息处理者，是指处理不满10万人个人信息的个人信息处理者。”

《规定》对小型个人信息处理者的界定，立足于其处理个人信息的数量（不满10万人个人信息），而不是处理者的生产经营规模。有些专门从事信息产业生产经营活动的小微企业，虽然经济体量较小，但是处理的个人信息数量较大，则不属于小型个人信息处理者；有些较大的企业如电子产品代工厂，虽然经济体量较大但是不处理或者较少处理个人信息（处理量不满10万人），则属于小型个人信息处理者。

（二）地域效力

《规定》第二条规定了适用的地域范围：“在中华人民共和国境内的小型个人信息处理者实施个人信息保护，适用本规定。”对本条的理解和适用，还需要遵循《个人信息保护法》第十二条的规定：“国家积极参与个人信息保护国际规则的制定，促进个人信息保护方面的国际交流与合作，推动与其他国家、地区、国际组织之间的个人信息保护规则、标准等互认。”

三、简化思路和主要内容

（一）简化思路

《规定》在界定小型个人信息处理者的基础上，结合小型个人信息处理者特点，明确制定公开个人信息处理规则、告知个人、取得个人同意等简化程序，便利小型个人信息处理者落实《个人信息保护法》关于处理个人信息的关键要求。《规定》确定了简化制定个人信息处理规则的思路。针对大量小型个人信息处理者依托网络平台、园区或商业物业等提供产品服务的情形，《规定》提出在遵守网络平台、园区或商业物业等统一制定的个人信息处理规则的前提下，符合相关条件的，可以不再制定个人信息处理规则等便捷措施。《规定》还确定了支持性政策和减免处罚的思路。鼓励履行个人信息保护职责的部门为小型个人信息处理者提供安全便捷个人信息处理的基础设施、技术工具、咨询服务等。《规定》提出，对于违法行为轻微并及时改正，没有造成危害后果等情况的，不予处罚或者从轻减轻处罚，为中小微企业创新发展构建良好的政策环境。

（二）主要内容

《规定》正文共二十二条，重点对个人信息保护总体要求、个人信息处理规则简化、小型个人信息处理者义务履行方式简化、不予和从轻或者减轻处罚等作出规定。

一是关于个人信息保护总体要求。《规定》明确了小型个人信息处理者定义范围、小型个人信息处理者处理个人信息基本原则等总体要求。二是关于个人信息处理规则简化。《规定》明确了公开个人信息处理规则、统一制定处理规则、告知个人、取得个人同意、依托网络平台处理个人信息、个人信息出境、个人行权受理、删除个人信息等的简便处理措施。三是关于小型个人信息处理者义务履行方式简化。《规定》明确了小型个人信息处理者个人信息保护合规审计、影响评估、管理制度、安全事件应急预案、安全事件通知的简便处理措施，以及个人信息保护认证、合规审计的制度衔接规定等。四是关于不予处罚、从轻或者减轻处罚。《规定》明确了小型个人信息处理者不予处罚情形，从轻或者减轻处罚情形，规定履行个人信息保护职责的部门对小型个人信息处理者的支持措施。同时，《规定》还通过附件提供了《小型个人信息处理者个人信息保护合规审计自查表》和《小型个人信息处理者个人信息保护影响评估表》。

四、结论与展望

出台《规定》，旨在给小型个人信息处理者处理个人信息提供简化措施，以减轻其个人信息保护合规负担。这些简化措施坚持了《个人信息保护法》确定的基本原则和关键制度，守住了个人信息保护的底线，同时也给小型个人信息处理者进行了较大减负，有利于促进中小企业创新发展。（作者：张新宝，中国人民大学法学院吴玉章高级讲席教授、中国法学会网络信息法学研究会副会长兼学术委员会主任）