大型个人信息处理者监管新规征求意见

2026年8月7日，国家互联网信息办公室就《大型个人信息处理者个人信息保护规定（征求意见稿）》（下称“《征求意见稿》”）公开征求意见。《征求意见稿》系对前期已分别公开征求意见的《大型网络平台设立个人信息保护监督委员会规定（征求意见稿）》和《大型网络平台个人信息保护规定（征求意见稿）》的整合完善，适用范围由“大型网络平台”扩展至更广义的“大型个人信息处理者”（下称“大型处理者”），适用边界与监管框架均有所延伸和调整。

与2026年7月24日公布的《小型个人信息处理者个人信息保护简化措施规定》（下称“《小型处理者规定》”）相呼应，两部规定相向而行，共同构建起以数据处理规模为基准的个人信息保护分级监管体系。这样的制度安排，体现了监管机关宽严相济、精准施策的立法思路，标志着我国个人信息保护监管正式迈入精细化、差异化治理新阶段。

一、大型个人信息处理者的认定

1. 认定标准

《征求意见稿》第二条提出认定大型个人信息处理者应当“综合考虑”以下条件：

• 处理1000万人以上自然人个人信息；

• 提供涉及个人信息处理的重要网络服务，或经营范围涵盖多种业务且涉及个人信息处理；

• 个人信息处理活动对国家安全、经济运行、社会稳定、公共健康和安全等具有重要影响。

上述认定标准与《网络数据安全管理条例》（下称“《网数条例》”）第六十二条所定义的“大型网络平台”（注册用户5000万以上或月活跃用户1000万以上、业务类型复杂、对国家安全等具有重要影响）在立法逻辑上一脉相承，但《征求意见稿》以“处理个人信息的人数”而非“注册用户或月活跃用户数量”为核心指标，适用范围更为宽泛，可覆盖非互联网平台型的大型个人信息处理者（如大型医疗机构、金融机构等），而且从数量角度看涉及到的企业范围也可能增加。 

与《小型处理者规定》相比，《征求意见稿》对大型处理者的界定采用了多因素的综合认定标准，而非仅以处理个人信息的数量作为唯一划定依据。不过，就目前这三个考量因素和条件而言，在具体适用时仍存在待明确的问题，预计正式稿出台时，该条款仍需更具体的实施细则或认定指引。

2. 申报认定与名单公告

《征求意见稿》第三条确立了主动申报与监管督促并行的认定机制。

在申报义务层面，处理1000万人以上自然人个人信息和自评估认为符合《征求意见稿》第二条第二款第二项、第三项条件的个人信息处理者，应当申报认定为大型个人信息处理者。从认定标准提到应综合考虑三项条件来看，本条要求应申报的处理者应该是指同时满足：（1）客观上已达到处理1000万以上自然人个人信息的门槛，和（2）自评估认为符合另外两项条件。

值得关注的是，自评估义务要求企业对自身是否符合认定条件做出独立判断。《征求意见稿》第二条第一款的数量指标较为清晰，但是第二款和第三款均为原则性表述，由于缺乏具体的量化标准，企业在开展自评估时将面临一定的不确定性。被认定者若认为其已连续6个月不再符合认定条件，可提出变更认定申请。

在监督机制层面，《征求意见稿》规定省级以上网信部门、电信主管部门、公安机关等多部门均有权在研究认为某处理者符合认定条件但未主动申报时，督促其申报。同时，对于其认定为大型处理者的企业，国家网信部门将向社会公告。公布名单将有利于促进《征求意见稿》第四十五条规定的大型处理者公众监督、举报机制运行，全面保护个人信息。

二、 大型处理者个人信息处理规则

1. 隐私政策披露义务

《个人信息保护法》（下称“《个保法》”）确立了个人信息处理规则的基本告知框架；《网数条例》第二十一条在此基础上增加了“以清单形式列明”向第三方提供信息情况的要求，并将个人信息处理规则应“集中公开展示、易于访问并置于醒目位置”明确写入条文。

《征求意见稿》第十条在上述基础上进一步加码，专门针对大型处理者提出更严格的结构化披露要求，包括：（1）须以结构化清单形式逐项列明每项功能服务的权限调用名称和频度；（2）须专项披露所嵌入SDK的包名、版本、主要功能、运营者名称及其完整个人信息处理规则的访问途径。

2. 撤回同意机制

《征求意见稿》第十一条、第十二条在整体承继已有法律的框架基础上，新增了一项操作性要求：须以结构化清单形式列明个人已同意的个人信息种类、处理目的和处理方式，便于个人选择性撤回。这一设计将“便捷撤回”的抽象义务落实为可执行的功能要求，是对《个保法》第十五条的具体化落地，但同时也意味着大型处理者须在产品端提供颗粒度更细的同意管理界面。

3. 个人信息存储

《个保法》第四十条明确关键信息基础设施运营者和处理个人信息达到规定数量的处理者须将境内收集的个人信息存储在境内的原则。《征求意见稿》第十三条对此细化要求大型处理者应当履行境内存储义务，也明确了《个保法》第四十条所述的“规定数量”即处理1000万人以上自然人个人信息。第十四条还专门针对所用数据中心设立了三项硬性条件：（1）设立在境内；（2）管理机构法定代表人或实际控制人具有中国国籍；（3）符合国家有关政策标准要求。

第十五条进一步规定了数据中心管理机构的具体法定职责，包括制定应急预案、发现漏洞须立即补救并报告、发生安全事件须通报处理者并向监管部门报告等。这一制度安排对涉及外资背景或境外关联方的大型平台影响显著，需重新审视数据中心的治理架构和控制权安排。

4. 个人信息出境

《个保法》第三十八条确立了向境外提供个人信息须满足的合规路径；《网数条例》第三十五条在此基础上明确了可直接向境外提供个人信息的豁免情形。《征求意见稿》第二十条则明确要求大型处理者须严格遵守上述合规路径，并新增大型处理者须对境外接收方的管理和技术措施进行评估，发现接收方无法履行保护义务时，应主动暂停向其提供个人信息。相比之下，《小型处理者规定》第十条则为小型个人信息处理者（下称“小型处理者”）列举了六种免予申报安全评估等手续的情形，形成明显的宽严对比。

《征求意见稿》第七条还引入了限制或禁止向境外组织和个人提供个人信息的清单机制：当境外的组织、个人从事侵害中国公民的个人信息权益，或者危害中国国家安全、公共利益的个人信息处理活动的，国家网信部门可以将其列入限制或者禁止个人信息提供清单，予以公告，并采取限制或者禁止向其提供个人信息等措施。

三、 大型处理者合规义务

1. 制度设计与个保岗位安排

《征求意见稿》对于大型个人信息处理者的制度设计做出了具体的要求，要求制度包括个人信息的分类管理、安全存储、风险监测、合规审计、未成年人保护、投诉举报、宣传教育等。

《征求意见稿》第二十五条至第二十七条则在《个保法》要求基础上要求指定个人信息保护负责人，并公开联系方式，鼓励负责人具备个人信息保护合规审计能力。

2. 个人信息保护监督委员会

《个保法》第五十八条规定“提供重要互联网平台服务、用户数量巨大、业务类型复杂的个人信息处理者”应当成立主要由外部成员组成的独立机构对个人信息保护情况进行监督；《网数条例》第四十四条则要求大型网络平台服务提供者在社会责任报告中披露个人信息保护监督机构履行职责情况，但二者均未对该机构的设立标准和运行机制作出具体规定。

《征求意见稿》第四章专章落实了这一上位法框架，为监督委员会的设立与运行提供了详细的操作规范。大型个人信息处理者应当在被认定之日起6个月内成立监督委员会，成员不少于7名，外部成员占比不低于三分之二，委员会负责人须由外部成员担任并具备高级合规审计能力。外部成员须满足严格独立性要求，近一年内在受聘企业任职或持有一定比例股份等情形均构成独立性障碍，须每年进行独立性自查及外部评估。

《征求意见稿》第四十一条明确列举了监督委员会的十一项重点监督事项，覆盖合规制度体系建设、个人信息处理规则、敏感信息与未成年人信息保护等，几乎涵盖大型处理者个人信息保护合规工作的全链条。《征求意见稿》还附《个人信息保护监督委员会工作规则制定指引》，对监督委员会工作规则的制定提出了最低合规标准，包括要求监督委员会须至少每6个月召开一次定期会议，决议须经全体成员三分之二以上同意，并须提交董事会或授权机构处理。若企业拒绝处理合规意见，监督委员会可向省级网信部门报告。这一上报权是对《个保法》第五十八条建立“独立监督机构”要求的实质性填充，使其不止于形式性安排。

3. 合规审计与影响评估

《征求意见稿》第三十三条明确了大型处理者须至少每两年开展一次合规审计、每年开展一次风险评估。与之相对，小型处理者规定允许小型处理者每五年开展一次合规审计自查。第三十二条还专门规定，大型处理者须每年开展一次未成年人个人信息保护专项合规审计，并须指定经专门培训的专人负责该项工作。

此外，《征求意见稿》第三十一条新增了一项更为严格的备案义务，即在上线涉及自动化决策或敏感信息处理等可能对个人权益有重大影响的产品或功能前，须事前开展个人信息保护影响评估，并在评估完成后15个工作日内通过省级网信部门向国家网信部门备案。这一备案要求属于《征求意见稿》专门为大型处理者新设的、针对对个人权益有影响的特定处理行为的前置管控机制。

4. 年度社会责任报告

《网数条例》第四十四条率先要求大型网络平台服务提供者每年度发布个人信息保护社会责任报告，并列举了若干报告内容要素。《征求意见稿》第三十条在此基础上大幅扩展了报告内容范围，新增要求披露组织架构建设、未成年人保护、监督委员会外部成员津贴标准、重大安全事件处理情况、公益活动情况等，形成更为全面的对外信息披露机制。

在报送义务方面，《征求意见稿》第三十六条增设了向市级网信部门报送负责人信息、数据中心基本情况的要求，第四十三条要求每年报送监督委员会履职情况、每两年报送合规审计报告，构建了常态化的监管报送体系，监管机关的信息掌握能力大幅提升。

四、 监督管理与法律责任

《征求意见稿》第五章规定了多层次的监督管理措施，针对大型处理者设置了若干专项手段，包括网信部门等可依法开展现场检查、约谈、要求整改、督促解散监督委员会等处置措施；若大型处理者未按要求整改，监管机关可要求其将个人信息托管至第三方数据中心。个人信息托管系《征求意见稿》新设的强制性措施，构成了对《个保法》和《网数条例》中处罚规定的补充。

在法律责任层面，《征求意见稿》第四十七条援引多项上位法律作为罚则依据，同时将大型处理者、个人信息保护负责人、第三方专业机构及数据中心管理机构纳入责任主体范围；情节严重者可依法追究刑事责任。监督委员会成员亦须依据聘任合同承担民事责任，直接参与或导致违规的成员还将面临行政乃至刑事追责。

五、 实务影响与合规建议

1. 尽快确认是否纳入认定范围

《征求意见稿》对大型个人信息处理者的界定标准虽仍有解释空间，但“处理1000万人以上个人信息”这一项具体标准已较为明确。建议相关企业尽快梳理个人信息处理规模，评估认定风险，提前研究合规差距，避免被动应对。同时，其余企业也应当关注网信部门随时更新的法律动态，自我评估是否落入《征求意见稿》第二条可能涵盖的情形，做好合规升级的准备。

2. 筹备监督委员会的设立工作

监督委员会的设立可能是本次《征求意见稿》未来正式生效实施后企业需核心筹备落地的义务之一，也是《个保法》第五十八条长期悬而未落地的配套制度。外部成员的资质审查、独立性核验、安全背景审查及聘任流程均需时间。建议可能落入大型处理者范围的企业在规定正式出台前，提前研究外部成员来源渠道、制定工作规则框架，提前部署相应安排。

3. 数据中心治理架构审查

涉及外资股东、境外关联公司或跨境数据流动的大型处理者，须重点审查数据中心法定代表人/实际控制人国籍要求是否满足，以及数据中心管理机构的义务是否覆盖《征求意见稿》第十五条规定的全部内容。如涉及数据中心架构重组，须尽早启动评估和调整。

4. 其他合规义务的落地和合规体系的建立

《征求意见稿》所涉及的其他各项合规义务的落地，将需要大型处理者内部的相应合规机制建立以及常态化的运作才能相应的保障。从角色认定、到机构设立、对数据中心的法律要求、再到相应政府报备等各项事务，均需专人通过流程化机制予以保障。

总的来说，《征求意见稿》以《个保法》和《网数条例》为上位法依据，在多项义务上形成承继、细化、强化的关系。与《小型处理者规定》并行来看，中国个人信息保护监管体系即将形成清晰的三段式分层结构：处理不满10万人的小型处理者享受简化合规措施；处理10万至1000万人的中间处理者适用《个保法》等的一般要求；处理1000万人以上及符合相应条件的大型处理者须在上述要求之上叠加大型处理者专项义务。这一分层体系的逐步成形，是我国数据治理从单一规则迈向分类精治的重要标志。

声 明

《君合法律评论》所刊登的文章仅代表作者本人观点，不得视为君合律师事务所或其律师出具的正式法律意见或建议。如需转载或引用该等文章的任何内容，请注明出处。未经本所书面同意，不得转载或使用该等文章中包含的任何图片或影像。如您有意就相关议题进一步交流或探讨，欢迎与本所联系。