中小企业个人信息保护简化规定
"
简化 两个字的含金量，很多小老板理解反了—— 简化的是姿势 ，不是规则
—— 第25号令 · 9月1日起施行
7月22日，国家网信办和公安部联合发了一部令——第25号令，全名 《小型个人信息处理者个人信息保护简化措施规定》 ，9月1日正式施行。
新闻标题写的是 “中小企业个人信息保护减负新规” 。不少小老板看完标题，心里一乐：太好了，以后不用管这些事了。
「处理不满10万人 ≠ 不用管， 简化的是流程，不是底线。 」
这个理解，错得离谱。
“简化”两个字，简化的是你 跑流程的腿 ，不是 出事之后的责 。
📌 本文看点
01
10万人怎么算
02
五件事 vs 三道红线
03
9月1日前5件必须做的事
IN OR OUT
你到底在不在范围内？
先回答最关键的问题： 这部法规管不管你？
第一，“10万人”怎么算？
法规说的是“处理不满10万人个人信息的个人信息处理者”。这里的10万，不是说你公司有10万员工，而是你 当前累计处理过 10万个自然人的个人信息。你的客户名单、会员系统、预约记录里有多少个真人？数一数就知道了。 已经删除的不算。
一个线下健身房有3000个会员？在范围内。一个培训机构有500个学员？在范围内。一个淘宝小店有2万个成交客户？ 在范围内。
第二，“个人信息处理者”是谁？
只要你收集了别人的姓名、电话、身份证号这些信息，用于经营活动，你就是 “个人信息处理者” 。哪怕你只用Excel存了一份客户通讯录，你也是。
第三，哪些企业最容易踩坑？
线下实体店（健身房、诊所、美容院、培训机构）、线上小店（电商卖家、小程序运营者）、还有用SaaS工具的中小企业——这些是最容易觉得 “跟我没关系” 的群体。
💡 一个快速自判方法：你有没有 客户名单、会员系统、预约系统 ？有，你就在这个法规的射程范围内。
「你以为你躲起来就找不到你了吗？」
躲不掉的。你Excel里的客户名单，比你以为的更容易被找到。
！踩坑提示 🕳
这句出自《功夫》。用在合规语境里格外贴切——你觉得自己太小、不会被注意到，但监管的尺子已经做好了。
WHAT IS SIMPLIFIED
“简化”到底简化了什么？
先把好消息说清楚。跟大企业比，中小企业 的确少了很多动作 ：
个人信息处理规则
大企业要写一份完整的隐私政策，动辄十几页。你只要写 三个东西 ：你的名称、谁负责接个人投诉及联系方式、你处理信息的目的是什么/怎么处理/处理哪些类型/存多久。 就这三样。
线下收集信息的？在店里醒目位置贴张公告就行。线上的？服务协议里写一段、弹个窗、网站挂个公告， 任选其一。
取得同意
大企业要搞勾选框、弹窗确认那套流程。你不用。只要客户知情、自愿、主动把信息给了你（比如自己填了手机号预约课程），就视为同意了。你按照公开的规则处理就行。
但注意，这里有个 前提条件 ：你处理的信息必须是“提供产品或服务所必需的”，而且你不能把信息转给别人、不能对外公开。 敏感信息 （比如人脸、医疗健康记录）还是得单独取得同意。
合规审计
大企业每年请第三方做。你五年做一次就行，而且不用请外面的人，自己用法规附带的 “自查表” 填一遍就可以。
影响评估
大企业要写完整的PIA报告。你用法规附带的 “简化评估表” 做就行。
内部制度
大企业要单独制定个人信息保护管理制度和应急预案。你可以把这些要求 嵌进现有的管理制度文件里 ，不用单独搞一套。
数据出境
大企业要走数据出境安全评估或签标准合同。你有 六种情形可以免掉 ：跨境购物、跨境寄递、跨境汇款等合同必需场景，跨境人力资源管理，紧急情况保命保财产，履行法定职责，以及非关键信息基础设施运营者且年度累计向境外提供不满10万人个人信息。
还有一招很实在：如果你是在电商平台、园区、商业综合体里经营的，平台或物业可以统一制定个人信息处理规则，你声明遵守就行，不用自己写。这就是 “一份规则管多家企业”。
简化的是“怎么做”，不是“做不做”。
THREE RED LINES
哪些事简化不了？
这是全文的重点。打掉侥幸心理，就看这 三道红线。
「给你机会，你不中用啊。」
第25号令已经给中小企业开了简化通道，你要是不珍惜——那就别怪“不给��会不中用”了。
第一道红线：出了事，必须报告+补救
法规第十六条写得明明白白：发生或者可能发生个人信息泄露、篡改、丢失的，你应当 立即 采取补救措施，依照法律规定通知个人，并通知主管部门。涉嫌犯罪的，还得及时向公安机关报案。
“简化”体现在哪里？如果你实在没有别的办法通知到个人，可以只在店里贴公告、在APP里弹个窗。但 “简化通知方式”的前提是“因客观条件限制无法通过其他方式通知” ——不是你嫌麻烦就可以随便贴个公告了事。
而且 “立即采取补救措施”这一条，没有任何简化的余地。 你的客户数据泄露了，你得马上行动，不是等想清楚了再说。
第二道红线：违法了，照样罚
法规第十八条确实列了“不予处罚”的情形，但门槛不低：违法行为轻微 并且 及时改正 并且 没有造成危害后果—— 三个条件同时满足 ；有证据证明没有主观过错。
第十九条从轻或减轻处罚也得：主动消除危害后果，或主动供述监管部门还没掌握的违法行为，或发生事故时及时通知+补救+主动报告。
坐等执法找上门， 这两条一条都够不上。
更关键的是，就算你的情况符合“不予处罚”，监管部门还是会视情采取 约谈、发送提示函 等监管措施。不罚你，不等于不管你。
第三道红线：信用档案公示
第二十一条留了一个后手——网信部门、公安机关发现你违法处理个人信息或多次发生安全事件的，可以记入 信用档案 并予以公示。
对中小企业来说， 进信用档案比罚款更致命。 投标、贷款、入驻平台、谈合作——哪一样不查信用？
简化的是跑流程的腿，不是出事后的责。
ACTION PLAN
中小企业现在该做什么？
别慌， 按优先级来。
「打雷啦！下雨收衣服啦！」
9月1号就是那个雷。在雷劈下来之前，先把合规的衣服收了。
9月1日之前必须做完的
数一数 ——你的客户名单、会员系统、预约记录里有多少个真人？搞清楚自己处理的个人信息涉及多少自然人。
写一份规则 ——三要素：你的名称、谁负责接投诉及联系方式、处理目的/方式/种类/保存期限。不会写？参考法规第四条的模板。
想好怎么公开 ——线下贴公告、线上弹窗/服务协议/网站公告，选一个适合你的。
指定一个负责人 ——哪怕就是老板自己。得有个人接投诉、负责任。
如果处理 不满十四周岁未成年人信息 ——必须制定专门的个人信息处理规则，没有简化余地。
9月1日之后逐步做的
下载法规附件 ——自查表和评估表先看一遍，了解以后要填什么。
！踩坑提示 🕳
别被“简化”两个字骗了——这两张表不是空白的。自查表有 24项 ，从合法性基础一直问到安全事件应急响应，覆盖个人信息处理全生命周期。每一项你都要打勾：合规、不合规、还是不适用。不合规的还得写整改说明。评估表有 5个触发场景 ：处理敏感信息、自动化决策、委托/提供/公开、数据出境、其他重大影响。每个场景三个问题：合法正当必要吗？对个人权益有影响吗？保护措施到位吗？两张表最后都有一行字：“ 如有不实，承担相应法律责任。 “签字的人不是法务顾问，是你自己。所以”简化“的意思是：不用请四大来做审计，不用写几百页的报告。但 两张表该填的空，一个都不会少。
梳理数据出境情况 ——有没有用海外SaaS？有没有把客户数据存在海外服务器？如果在六种豁免情形之内，记好；如果不在，提前准备申报材料。
看看能不能搭车 ——在电商平台或园区内经营的，看看平台或物业有没有统一规则可以声明遵守。能搭车就搭车，省事。
建一个最简单的应急流程 ——泄露了找谁、通知谁、怎么补救。写下来，贴在办公室。不用复杂，关键是有。
有条件的话
考虑做个人信息保护认证 ——认证有效期内免予合规审计，一劳永逸。
找专业机构做一次合规体检 ——法规第二十条白纸黑字写了“鼓励专业机构帮助小型个人信息处理者提升个人信息保护能力”。你花钱请人帮你合规，既是响应国家号召，也是最省心的路。
EPILOGUE
最后
开头那个小老板，以为“简化”是给他减负。结果是给他 安排了新作业。
不过这份作业不复杂，关键是要做、别拖。三要素规则写一份，公开方式选一个，负责人定一个，应急流程建一个—— 核心动作就这几样。
9月1日不是deadline，是起点。从这天起，监管部门有了一把 专门量中小企业的尺子。 与其等被量，不如自己先拿着尺子量一遍。
简化的是姿势，不是规则。该弯的腰，还得弯。
「曾经有一份合规清单摆在我面前，我没有珍惜。等到9月1号被约谈的时候才后悔莫及。人世间最痛苦的事莫过于此。如果上天能够给我一个再来一次的机会，我会对那张自查表说三个字——我填你。如果非要在这份承诺上加一个期限，我希望是……」
别等被约谈了才后悔。现在就开始填吧。
END
来自 “ ITPUB博客 ” ，链接：https://blog.itpub.net/70042845/viewspace-3177050/ ，如需转载，请注明出处，否则将追究法律责任。
