《小型个人信息处理者个人信息保护简化措施规定》答记者问
近日，国家网信办、公安部联合公布《小型个人信息处理者个人信息保护简化措施规定》(以下简称《规定》)。国家网信办有关负责同志就《规定》回答了记者提问。
问1：请介绍一下《规定》的出台背景？
答：党的二十大报告提出，加快建设网络强国、数字中国，强化网络、数据等安全保障体系建设，加强个人信息保护，支持中小微企业发展。党的二十届四中全会提出，加强个人信息保护，支持中小企业和个体工商户发展。《个人信息保护法》第六十二条规定，国家网信部门统筹协调有关部门针对小型个人信息处理者，制定专门的个人信息保护规则、标准。
出台《规定》，是贯彻落实党中央关于加强个人信息保护和支持中小微企业发展工作部署，落实《个人信息保护法》有关要求的重要举措，有利于在坚守个人信息安全底线的同时，降低小型个人信息处理者合规成本，提升小型个人信息处理者个人信息保护水平，为中小微企业创新发展提供法治保障。
问2：《规定》的适用范围是什么？
答：在中华人民共和国境内的小型个人信息处理者实施个人信息保护，适用《规定》。
《规定》所称小型个人信息处理者，是指处理不满10万人个人信息的个人信息处理者。
问3：《规定》中的“处理不满10万人个人信息”，相关数量如何进行统计？
答：处理不满10万人个人信息，在计数时，不包含10万人本数，按照个人信息处理者当前处理个人信息涉及的自然人数量进行累计统计，不包括已经删除的个人信息。
问4：《规定》的主要内容是什么？
答：《规定》主要对下列内容进行了规定：一是明确小型个人信息处理者个人信息处理规则等的简化措施，规定小型个人信息处理者制定公开个人信息处理规则、履行告知义务、取得个人同意、受理个人行使权利申请、删除个人信息等的简化措施。二是明确小型个人信息处理者履行个人信息保护义务的简化措施，规定小型个人信息处理者开展个人信息保护合规审计、个人信息保护影响评估、建立个人信息保护管理制度、履行个人信息安全事件补救和通知义务等的简化措施。三是明确监督管理要求，规定对小型个人信息处理者不予处罚、从轻或者减轻处罚的情形，鼓励履行个人信息保护职责的部门降低小型个人信息处理者合规成本，明确违反规定的法律责任。同时，《规定》以附件形式提供了《小型个人信息处理者个人信息保护合规审计自查表》《小型个人信息处理者个人信息保护影响评估表》，便于小型个人信息处理者自行开展个人信息保护合规审计、个人信息保护影响评估。
问5：《规定》对小型个人信息处理者制定公开个人信息处理规则，提出了哪些简化措施？
答：《规定》明确小型个人信息处理者个人信息处理规则应当包括的内容，并提供线下、线上公开个人信息处理规则的简便方式。按照《规定》要求，小型个人信息处理者个人信息处理规则至少应当包括下列内容：(一)小型个人信息处理者名称或者姓名；(二)个人行使权利的受理部门或者人员及联系方式；(三)个人信息的处理目的、处理方式，处理的个人信息种类、保存期限等。小型个人信息处理者线下收集个人信息的，可以通过在经营场所醒目位置张贴公告等简便方式公开个人信息处理规则；线上收集个人信息的，可以通过服务协议、产品服务客户端弹窗和网站公告等方式公开个人信息处理规则。
《规定》明确，支持园区、产业基地、商业物业等服务管理单位，为其服务管理范围内开展相同线下业务的小型个人信息处理者统一制定并在显著位置公开个人信息处理规则。同意遵守统一个人信息处理规则且在该规则中被列明的小型个人信息处理者，可以不再制定个人信息处理规则。
问6：《规定》对小型个人信息处理者履行告知、取得个人同意义务，提出了哪些简化措施？
答：小型个人信息处理者同时符合下列条件的，可以仅通过公开个人信息处理规则向个人履行告知义务：(一)处理个人信息(不含敏感个人信息)为提供产品或者服务所必需；(二)不向其他个人信息处理者提供且不对外公开个人信息，并在个人信息处理规则中明示。
对于公开个人信息处理规则并履行告知义务的小型个人信息处理者，《规定》明确，个人因获取产品或者服务需要，在充分知情的前提下自愿、主动向或者自愿、主动配合小型个人信息处理者提供获取产品或者服务所必需的个人信息的，小型个人信息处理者即可按照公开的个人信息处理规则处理其个人信息；为特定目的处理敏感个人信息的，小型个人信息处理者应当在个人信息处理规则中告知处理敏感个人信息的必要性以及对个人权益的影响，取得个人的单独同意。
法律、行政法规、部门规章对于小型个人信息处理者处理敏感个人信息另有规定的，从其规定。
问7：《规定》对依托网络平台处理个人信息的小型个人信息处理者，提出了哪些简化措施？
答：同时符合下列条件的小型个人信息处理者，可以不再制定个人信息处理规则、履行告知义务：(一)小型个人信息处理者仅通过网络平台开展个人信息处理活动，且不向网络平台外的其他个人信息处理者提供；(二)网络平台已针对小型个人信息处理者个人信息处理活动，制定发布了相应的个人信息处理规则，并与小型个人信息处理者约定了各自的权利和义务；(三)小型个人信息处理者声明遵守网络平台按照本规定要求制定的个人信息处理规则，且处理个人信息为提供产品或者服务所必需，未超出前项规则载明的处理目的、处理方式和个人信息种类范围。
对于符合前述规定条件的小型个人信息处理者，网络平台已开展个人信息保护合规审计、个人信息保护影响评估，覆盖小型个人信息处理者依托该网络平台开展的个人信息处理活动的，小型个人信息处理者可以不再重复开展。
小型个人信息处理者处理个人信息的目的、处理方式和种类超出网络平台个人信息处理规则范围的，应当按照《规定》要求另行制定个人信息处理规则并履行告知、合规审计和影响评估义务。网络平台调整个人信息处理规则的，应当及时通知相关小型个人信息处理者。
问8：《规定》对小型个人信息处理者开展个人信息保护合规审计、个人信息保护影响评估，提出了哪些简化措施？
答：《规定》以附件形式提供了《小型个人信息处理者个人信息保护合规审计自查表》《小型个人信息处理者个人信息保护影响评估表》，小型个人信息处理者可以按照附件的简便方式，开展个人信息保护合规审计和个人信息保护影响评估。个人信息保护合规审计至少每五年开展一次，法律、行政法规对于处理未成年人个人信息的合规审计另有规定的，从其规定。
《规定》明确，支持个人信息保护认证机构针对小型个人信息处理者开展认证工作，提高服务质量。通过个人信息保护认证的小型个人信息处理者，在认证有效期内可以免予开展个人信息保护合规审计。
问9：《规定》对小型个人信息处理者的监督管理，作了哪些规定？
答：对小型个人信息处理者的监督管理，《规定》作出以下规定：一是明确对小型个人信息处理者不予处罚、从轻或者减轻处罚的情形。规定对小型个人信息处理者依法不予处罚的，履行个人信息保护职责的部门应当视情采取约谈、发送提示函等监管措施。二是明确支持企业、相关社会组织、专业机构等通过组织培训、讲座、普法活动、咨询辅导等方式，帮助小型个人信息处理者提升个人信息保护能力水平。三是明确鼓励履行个人信息保护职责的部门为小型个人信息处理者提供安全便捷个人信息处理的基础设施、技术工具、咨询服务等，降低小型个人信息处理者合规成本。四是明确网信部门、公安机关和其他履行个人信息保护职责的部门可以采取抽查评估、审计报告等方式对小型个人信息处理者履行个人信息保护义务情况进行监督检查。
(“网信中国”微信公众号)
