《小型个人信息处理者个人信息保护简化措施规定》9月1日施行：数据出境合规的"减负"与"底线"

《规定》的施行标志着我国个人信息保护监管从"一刀切"走向"分类分级"，为小型处理者（尤其是跨境电商、外贸小微企业、独立开发者）大幅降低了数据出境的合规门槛。但"简化"不等于"免除"：小型处理者仍需履行告知同意、安全保障、事件报告等核心义务；一旦超出"常见业务"范围处理敏感个人信息或大规模数据，仍需回归标准合规路径。

一、《规定》的核心内容：谁适用、简化了什么？

适用主体：处理不满10万人个人信息的小型处理者。 这里的"10万人"是累计处理数量，而非活跃用户数量。一个年交易量数千单的小型跨境电商，若经营数年，累计处理的买家信息（姓名、电话、地址）很可能已接近或超过10万人门槛。企业应定期统计累计处理量，动态评估自身是否仍属于"小型处理者"。

简化措施一：个人信息处理规则的制定与公开。 小型处理者的处理规则只需载明处理者名称、处理目的、方式、种类和保存期限等核心事项。线下经营者在经营场所醒目位置张贴公告即可满足要求；线上收集个人信息的可通过服务协议、弹窗或网站公告等方式公开。园区、产业基地、商业物业等还可为区域内开展相同线下业务的小型处理者统一制定规则。

简化措施二：依托平台统一合规。 依托网络平台经营的小微商户，若平台已针对商户的个人信息处理活动制定规则并完成合规审计和影响评估，则可以直接沿用，无需重复开展。

简化措施三：数据出境流程简化。 这是《规定》最具实务价值的条款。小微企业因跨境购物、跨境支付等常见业务向境外提供个人信息的，不再需要申报安全评估、订立标准合同或通过认证。但"常见业务"的范围有待监管实践进一步明确——目前可合理理解为与主营业务直接相关、数据出境量与业务规模相匹配、接收方信誉可查的常规场景。

简化措施四：行政处罚从轻。 违法行为轻微并及时改正、未造成危害后果的，应当不予处罚；初次违法且危害后果轻微并及时改正的，也可以不予处罚。

二、数据出境"简化路径"的适用边界在哪里？

第一，"常见业务"不等于"任意出境"。 若小型处理者将收集的个人信息批量出售、转让给境外第三方，或用于与主营业务无关的营销、分析等目的，则超出了"常见业务"范围，仍需履行标准合同备案或安全评估程序。

第二，敏感个人信息不简化。 《规定》的简化措施主要针对一般个人信息。涉及生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等敏感个人信息的数据出境，即使处理者属于"小型"，也应适用更严格的保护标准。

第三，"小型"身份可能动态变化。 一旦处理量突破10万人门槛，处理者即不再适用《规定》，需在合理过渡期内完成标准合规体系的搭建。建议企业建立个人信息处理量的季度监测机制，提前预警。

三、厦门自贸片区的"算力出海"对数据出境合规有何启示？

2026年9月8日，厦门自贸片区举办"词元跨境算力出海"专题活动，展示了数据要素跨境流动的制度创新成果。厦门自2024年起探索数据出境负面清单制度，制定福建省首批航空维修领域数据出境负面清单，建设数据跨境公共服务平台，已推动全省首单航空维修领域数据出境和全省首单复用异地负面清单数据出境业务。

这一实践对小型处理者的启示在于：①"负面清单"逻辑（"规定什么不能出"而非"规定什么可以出"）正在从自贸区向更广范围推广，未来小型处理者的数据出境自由度有望进一步扩大；②地方性的数据跨境公共服务平台可为小型企业提供政策咨询、材料辅导和申报备案等一站式服务，降低合规的信息门槛；③"场景化、字段级"的负面清单管理，使企业只需核对负面清单中列明的具体字段即可判断是否需要申报，大幅降低了合规的不确定性。

四、小型处理者的数据出境合规操作建议

步骤一：确认自身身份。 统计累计处理的个人信息数量（去重后），判断是否低于10万人门槛。注意：若同一控制人名下有多家企业，需合并计算。

步骤二：梳理数据出境场景。 列出所有向境外传输个人信息的业务场景（如跨境电商平台订单信息同步境外仓库、SaaS工具使用境外服务器、跨境支付信息传输等），逐一判断是否为"常见业务"。

步骤三：留存基础合规记录。 即使适用简化措施，仍建议留存：①出境数据的类型、数量、目的记录；②境外接收方的名称、联系方式、所在国家/地区；③与接收方关于个人信息保护的责任约定（即使不签订标准合同，也建议有基础的责任划分邮件或协议）；④个人信息主体的告知同意记录。

步骤四：关注监管动态。 《规定》施行初期，监管部门可能会发布配套指引或典型案例，进一步明确"常见业务""轻微违法"等关键概念的范围。建议关注属地网信部门的官方通知。

广东华商律师事务所潘杰峰律师点评

《小型个人信息处理者个人信息保护简化措施规定》的施行，是《个人信息保护法》"针对小型个人信息处理者制定专门的个人信息保护规则和标准"要求的落地，体现了监管对小微商家的务实关照。我的实务判断有三：第一，"处理不满10万人"的门槛看似不低，但跨境电商、社群运营等业态的累计处理量增长很快，建议每半年做一次统计，避免"不知不觉中"失去简化资格；第二，"常见业务"目前仍是模糊地带，保守的做法是将与主营业务直接相关的订单履约、跨境支付等场景纳入简化路径，而将数据分析、营销合作等衍生场景排除在外；第三，即使适用简化措施，基础的告知同意和安全保障义务不能免除——这是合规底线，也是监管抽查的重点。

FAQ

Q1：个体工商户适用《规定》的简化措施吗？

适用。《规定》未排除个体工商户，只要其处理的不满10万人个人信息，即可享受简化措施。但个体工商户应注意保存与境外接收方的交易记录和基础责任约定，以备监管检查。

Q2：使用境外SaaS工具（如Shopify、Mailchimp）是否属于数据出境？

是的。只要个人信息被传输至境外服务器或由境外主体处理，即构成数据出境。若使用境外SaaS工具是开展跨境电商等"常见业务"的必要环节，且处理者为小型处理者，可适用简化措施。但建议与SaaS提供商确认其数据处理条款，并保留相关告知同意记录。

Q3：《规定》与《数据出境安全评估办法》是什么关系？

《规定》是对小型处理者的"特别法"，《数据出境安全评估办法》是适用于所有处理者的"一般法"。小型处理者在数据出境场景优先适用《规定》的简化路径；一旦超出"小型"身份或"常见业务"范围，即回归《数据出境安全评估办法》的标准程序。

---

本文系广东华商律师事务所潘杰峰律师团队出品，仅供客户与行业参考，不构成正式法律意见。