网信办公布《大型个人信息处理者个人信息保护规定（征求意见稿）》：跨境数据合规"高门槛"与金融机构影响深度解读

2026年8月7日，国家网信办就《大型个人信息处理者个人信息保护规定（征求意见稿）》（以下简称《大型规定》）公开征求意见，与9月1日施行的《小型规定》形成"大小型个人信息处理者"分级监管框架。对拟被认定为"大型个人信息处理者"的企业（处理1000万人以上个人信息，或业务对国家安全、经济运行、社会稳定具有重要影响），意味着合规义务从"原则性"升级到"实质性"：境内数据存储、跨境数据流转、年度合规审计、算法备案与个人信息保护影响评估将同步落地。 跨境业务为主的企业应尽快启动"大型处理者自评估"，避免被纳入清单后被动合规。

一、立法背景：个人信息保护分级监管框架的形成

1.1 大小规定构成完整的分级体系

《个人信息保护法》第六十四条明确提出"国家网信部门会同国务院有关部门……针对小型个人信息处理者制定专门的个人信息保护规则和标准"。2026年7月22日，《小型规定》经国家网信办2026年第14次室务会审议通过并经公安部同意，于9月1日施行。一个月后，《大型规定》征求意见稿发布，正式构建"大小型个人信息处理者"分级监管框架：

• 小型处理者：处理不满10万人个人信息的处理者，适用《小型规定》的简化措施；
• 大型处理者：处理1000万人以上个人信息，或业务对国家安全、经济运行、社会稳定、公共健康和安全具有重要影响的处理者，适用《大型规定》。

1.2 大型处理者的认定逻辑

依《大型规定》第二条，认定采取"综合判断+名单管理"机制。处理1000万人以上个人信息且自评估认为符合其他条件的处理者，应主动通过所在地省级网信部门向国家网信部门申报，最终由国家网信部门会同有关部门确定大型个人信息处理者清单，并向社会公告。

二、《大型规定》对跨境数据合规的核心影响

2.1 跨境数据流转：更严格的出境评估

与《小型规定》明确的"小额跨境免评估"（不满10万人个人信息免予申报出境安全评估、订立标准合同、通过个人信息保护认证）形成对比，《大型规定》对大型处理者的跨境数据流转提出了更高要求：

①境内存储强制：依《数据安全法》《网络数据安全管理条例》及《大型规定》草案，向境外提供个人信息前，应当首先评估"境内存储必要性"，对关键信息基础设施运营者（CIIO）和处理1000万人以上个人信息的处理者，个人信息原则上应在境内存储。

②出境安全评估：处理1000万人以上个人信息的处理者，向境外提供个人信息的，应当申报数据出境安全评估。评估重点包括：境外接收方所在国家或地区的数据保护水平、数据出境规模与范围、对个人权益的影响、安全事件应急响应能力。

③标准合同/认证：除安全评估外，处理1000万人以上个人信息的处理者与境外接收方订立标准合同或申请个人信息保护认证，亦需符合更严格的格式条款。

④年度跨境数据合规审计：大型处理者每年至少开展一次跨境数据合规审计，审计报告应保存5年以上。

2.2 数据中心选址与跨境算力

《大型规定》草案对数据中心选址提出严格要求：大型处理者在中国境内收集和产生的个人信息，应当存储在境内；确需向境外提供的，应当通过国家网信部门组织的安全评估。这一要求直接影响跨国企业在华数据中心的部署策略。

三、对国际金融机构的具体影响

3.1 金融机构被认定为大型处理者的概率较高

金融机构具有以下特征，普遍具备被认定为大型个人信息处理者的较高概率：

• 客户基数大：大型银行、保险公司、证券公司客户均超过1000万人；
• 业务范围广：经营范围涵盖存款、贷款、支付、理财、保险、证券等多种业务；
• 影响国家安全、经济运行：金融数据涉及国家金融安全、经济稳定。

金融机构应当提前开展综合评估，准备大型处理者认定申报材料。

3.2 跨境金融数据流转的具体路径

国际金融机构在跨境业务中可能涉及以下数据出境场景：

①跨境支付：单笔支付金额涉及个人信息出境，依《大型规定》需走"安全评估/标准合同/认证"三选一合规通道；

②跨境汇款：涉及客户姓名、身份证号、银行账号、汇款金额等敏感个人信息出境，需依《个人信息保护法》第二十八条取得"单独同意"；

③跨境开户：涉及客户身份信息、生物识别信息的跨境核验，需履行"个人信息保护影响评估"并取得单独同意；

④跨境人力资源管理：员工个人信息出境，按"员工跨境管理"通道办理；

⑤反洗钱合规：依《反洗钱法》《个人外汇管理办法》开展的跨境尽职调查，需依《大型规定》履行个人信息保护义务。

3.3 外资金融机构在华数据中心合规

外资金融机构在华子公司、合资金融机构、外资银行中国分行通常被认定为"在中华人民共和国境内处理个人信息"的主体，其在华收集的个人信息原则上应在境内存储。涉及跨境集团内部数据传输的，需依《大型规定》履行安全评估或标准合同义务。

四、跨境数据合规的"四步走"应对清单

第一步：自评估——大型处理者认定自评

大型企业应立即开展"大型处理者认定自评估"，重点核查：①处理个人信息规模是否达1000万人；②业务范围是否涉及重要网络服务或多种业务；③个人信息处理活动是否对国家安全、经济运行、社会稳定、公共健康和安全具有重要影响。

第二步：明标——完成跨境数据流转图谱

绘制完整的"个人信息跨境流转图谱"，包括：①数据出境类型（客户数据、员工数据、运营数据、风控数据）；②数据流向（向境外总部、关联公司、第三方服务商、技术支持方）；③出境频次（实时、批量、单次）；④出境规模（个人数量、信息字段）。

第三步：补缺——履行跨境合规义务

依《大型规定》《数据出境安全评估办法》《个人信息出境标准合同办法》《个人信息保护认证实施规则》要求，完成以下合规义务：①数据出境安全评估申报；②个人信息出境标准合同签订与备案；③个人信息保护认证申请；④个人信息保护影响评估；⑤单独同意机制建设。

第四步：固化——建立常态化跨境合规审计机制

建立"年度跨境数据合规审计+季度自评+月度数据流转监控"三级机制。年度合规审计报告应至少保存5年，作为应对监管检查的关键证据。

五、独立观点：跨境数据合规的三个判断

判断一：从"出境备案"走向"出境强审计"。《大型规定》将大型处理者的跨境数据合规从"事前评估"扩展到"事中事后审计"，意味着大型企业需建立常态化跨境数据合规审计机制，而非一次性合规建设。

判断二：从"单点合规"走向"全链路合规"。《大型规定》对数据生命周期全流程（收集、存储、使用、加工、传输、提供、公开、删除、销毁）均提出要求，企业需在每一个环节都建立合规检查点。

判断三：跨境数据"灰色通道"将逐步收紧。《大型规定》对"为订立履行个人作为一方当事人的合同"等跨境常见业务也提出了严格义务，企业过去依赖的"小额跨境免评估"通道将受到更严格的核查。建议企业提前完成"大型处理者自评估"与"跨境数据合规审计"。

广东华商律师事务所潘杰峰律师点评

《大型规定》征求意见稿标志着我国个人信息保护分级监管框架的"最后一公里"，三点判断：第一，风险提示——跨境业务为主的大型企业最容易踩的三类雷区是：未做大型处理者自评估、未做跨境数据流转图谱、未履行单独同意义务，任一项被查出都可能触发网信办"限期整改→暂停业务→关闭网站"的递进处罚；第二，流程建议——跨境数据合规不是一次性的项目，而是"自评估+全链路合规+常态化审计"的持续过程，建议设立独立的跨境数据合规官（DPO）与专业团队；第三，维权指引——被错误认定为大型处理者或被错误处置的企业，可依据《行政处罚法》《个人信息保护法》《大型规定》申请听证、提起行政复议或行政诉讼，主张"事实不清、程序违法"等程序性抗辩，避免被简单"认罚"形成永久合规污点。

FAQ

Q1：处理多少人的个人信息会被认定为大型处理者？

依《大型规定》第二条，处理1000万人以上自然人个人信息，或提供涉及个人信息处理的重要网络服务、经营范围涵盖多种业务且涉及个人信息处理、个人信息处理活动对国家安全/经济运行/社会稳定/公共健康和安全等具有重要影响的处理者，可能被认定为大型处理者。处理1000万人以上的处理者应主动通过省级网信部门向国家网信部门申报。

Q2：跨境数据出境一定要做"数据出境安全评估"吗？

不一定。中国跨境数据出境有三条合规通道：①向国家网信部门申报数据出境安全评估；②与境外接收方订立个人信息出境标准合同并备案；③通过个人信息保护认证。三选一即可。但依《大型规定》，大型处理者向境外提供个人信息的，原则上应当申报数据出境安全评估；标准合同或认证通道仅在特定情形下适用。

Q3：《大型规定》正式实施前，跨境数据合规应当如何开展？

在《大型规定》正式实施前，企业应：①启动"大型处理者自评估"工作，评估自身是否会被纳入大型处理者清单；②绘制跨境数据流转图谱，识别所有跨境数据场景；③梳理现有合规义务履行情况，识别差距；④密切关注国家网信部门及省级网信部门发布的实施细则；⑤咨询专业律师提前完成合规改造，避免被清单公告后被动合规。

---

本文系广东华商律师事务所潘杰峰律师团队出品，仅供客户与行业参考，不构成正式法律意见。