文/王捷律师团队
继监管部门出台《小型个人信息处理者简化规定》后，数据合规领域的精细化监管拼图迎来关键另一半。相关解读可参考此前文章。
2026 年 8 月 7 日，国家互联网信息办公室发布《大型个人信息处理者个人信息保护规定（征求意见稿）》（以下简称《规定》），向社会公开征求意见，反馈截止时间为 2026 年 9 月 7 日。
该《规定》整合了前期关于“大型网络平台设立个人信息保护监督委员会”及“大型网络平台个人信息保护”两份征求意见稿的内容。
监管视角不再局限于“互联网平台主体”，而是延伸至所有具备大规模个人信息处理能力的处理者。
这一制度将对千万级数据规模的企业带来何种合规冲击？企业又该如何在新的监管坐标轴中精确定位？本文将为您深度解析。
一、谁会被划入“大型”范畴？——认定门槛与动态退出机制解读
根据《规定》第 2 条，大型个人信息处理者的认定需综合考虑下列条件：
（一）处理1000 万人以上自然人个人信息；
（二）提供涉及个人信息处理的重要网络服务，或者经营范围涵盖多种业务且涉及个人信息处理；
（三）个人信息处理活动对国家安全、经济运行、社会稳定、公共健康和安全等具有重要影响。
我们理解，大型个人信息处理者的认定需综合考量多项核心条件，并非单一指标判定，整体修订思路偏向审慎保守。
1. 统计口径宽泛：覆盖全量自然人信息
在个人信息处理量的统计范围上，《规定》作出了相对宽泛的界定，理解采用“自然人”个人信息作为统计口径。这可能不局限于 C 端平台注册用户或活跃用户，而是覆盖企业处理的全部自然人个人信息。除客户信息外，企业在职及求职员工、供应链合作相关自然人等主体的个人信息，只要处于企业处理范畴内，均大概率被纳入统计范围，进一步拓宽了认定边界。
2. 认定程序严谨：非自动认定，需申报核查
依据《规定》第三条，1000 万人以上自然人个人信息处理规模仅为认定的基础准入门槛，并不必然构成自动认定标准。新规采用审慎的综合认定逻辑：一般由处理者先行开展内部自我评估，自主梳理合规情况与认定适配条件，再向对应省级网信部门提交认定申报材料，最终经国家网信部门牵头，联合电信主管部门、公安部门等多部门协同研究核查后，统一向社会公示认定结果。
3. 关键概念待细化：需关注后续配套文件
结合实务落地视角，本次征求意见稿部分条款尚未作出明确、刚性的量化或定性规范。其中，“重要网络服务”“涵盖多种业务”“重要公共影响”等关键概念均无清晰的判定边界与适用细则，后续正式落地版本大概率会进一步优化细化。企业需持续关注配套解释文件及最终定稿规则，避免合规判断偏差。
同时，《规定》设置了监管督促申报机制。若省级以上网信、电信、公安等监管部门经核查，认为企业符合认定条件但未主动申报，可依法督促企业完成申报。鉴于当前认定标准偏弹性，该机制将形成合规约束导向。对于个人信息处理规模超千万级的企业而言，出于规避潜在合规风险的考量，主动申报或将是多数主体的审慎安全策略，但这客观上可能小幅增加企业的合规梳理与申报筹备成本。
4. 动态退出机制：连续 6 个月不满足可申请变更
在认定退出机制方面，《规定》设置了动态调整规则。被认定为大型个人信息处理者的企业，若能举证自身连续 6 个月不再满足各项认定条件，可经由所在地省级网信部门，向国家网信部门提交认定变更申请。需重点注意的是，在官方正式批复变更、完成认定调整前，企业原则上仍需严格履行大型个人信息处理者对应的全部合规义务，不得擅自豁免相关责任。
二、大型个人信息处理者须掌握的 5 大专属合规红线
依据《规定》，相较于普通个人信息处理者，被认定为大型个人信息处理者的企业将在常规合规基础上，叠加多项更严格、更细化的专属合规义务。本次新规修订整体偏审慎收紧，主要集中在日常合规管理、数据存储、技术应用、数据流转、权益响应五大实操维度：
1. 数据中心要求：境内存储与国籍限制
大型个人信息处理者在境内运营中收集和产生的个人信息，必须存储在符合严格条件的境内数据中心。具体需满足三重门槛：
（1）数据中心必须设立在中华人民共和国境内；
（2）数据中心管理机构的法定代表人或者实际控制人必须具有中国国籍；
（3）数据中心须符合国家有关政策和标准的具体要求。
此外，数据中心管理机构需建立包括安全事件应急预案、通报大型个人信息处理者、向国家个人信息保护职责部门报告等在内的健全内部管理制度和操作规程。
2. 自动化决策要求：强化用户选择权
大型个人信息处理者通过自动化决策方式向个人进行信息推送、商业营销的，应当设置易于理解、便于访问和操作的个性化推荐关闭选项，并且应当在用户选择关闭个性化推荐后停止将相关个人信息用于个性化推荐目的。相较普通处理者，该要求进一步压缩合规灰色空间，强化用户选择权保障。
3. 个人信息出境要求：严格评估与认证
大型个人信息处理者需要向境外提供个人信息的，应当依法进行数据出境安全评估、订立个人信息出境标准合同或通过个人信息保护认证，并且应当从管理和技术措施上对境外接收方的个人信息保护能力进行评估。
4. 对外提供要求：去标识化与留痕
大型个人信息处理者要向其他个人信息处理者提供个人信息的，应当优先采取去标识化、聚合统计等措施，履行对个人的告知义务，并留存相关日志不少于六个月。
5. 个人信息删除要求：最短时限与主动删除
大型个人信息处理者处理个人信息的保存期限应当限于提供产品或者服务所必需的最短时限。
在处理目的已实现、保存期限届满、个人撤回同意、个人拒绝处理或处理活动违法等情形下，大型个人信息处理者应当主动删除个人信息。
个人请求删除个人信息的，大型个人信息处理者应当及时删除；确有理由不能删除的，应当在 15 个工作日内答复。
三、组织治理新要求：个人信息保护与公司治理相结合
相较于普通个人信息处理者，大型个人信息处理者被施加了更高层级的组织治理义务，要求将个人信息保护深度嵌入公司内部治理架构，该部分组织机制安排很可能成为后续监管核查的重点方向。
1. 设立个人信息保护负责人
根据《规定》第 25 条，大型个人信息处理者必须指定一名管理层成员担任个人信息保护负责人，并公开其联系方式。
相关职责：
参与个人信息处理事项的决策，指导个人信息安全工作开展，对处理活动及保护措施进行监督，并有权就发生或可能发生的安全事件及违法行为直接向省级网信部门报告。
此外，大型个人信息处理者必须在业务部门（负责产品、服务研发、运营等的相关部门）明确具备个人信息保护合规审计能力的人员负责相关工作。
2. 设立个人信息保护监督委员会
根据《规定》第 37 条，大型个人信息处理者应当在被认定后的 6 个月内成立个人信息保护监督委员会。监督委员会主要由外部成员组成，且外部成员占比不得低于三分之二，负责监督合规制度建设、敏感信息及未成年人信息保护、相关人员履职情况及自动化决策等事项。
《规定》释放出的重要信号是：我国个人信息保护监管不再仅关注企业是否完成某一项合规动作，而是考察企业是否建立起一套能够持续识别风险、约束决策、监督整改并不断完善的治理体系。未来企业之间的竞争，不仅是技术能力和数据资源，更是数据治理和合规治理能力。
四、企业合规自查：你需要注意什么？
王捷律师团队长期深耕数据合规与个人信息保护领域，已为涵盖互联网、人工智能、跨境电商等多行业 100+ 领军企业提供服务。根据初步评估分析，被认定为大型个人信息处理者之后，企业将面临两大维度的叠加合规义务：
一是业务流程层面的实操合规义务，覆盖境内数据中心建设、自动化决策管理、个人信息出境管控、对外提供个人信息防护留痕、个人信息删除与权利响应等具体业务环节，在普通合规底线之上，增设更为细化的管理、技术、时限及留痕要求。
二是组织治理层面的架构义务，要求企业将个人信息保护融入公司治理，落实管理层级的个人信息保护负责人、业务部门专职合规人员、外部成员占主导的个人信息保护监督委员会等硬性组织安排。
相较于一般主体，上述义务并非仅完成纸面制度即可。《规定》更强调形成可落地运行、具备内部监督制衡能力的长效治理机制。无论是业务流程的执行落地，还是组织治理机制的实际履职情况，均很有可能成为后续监管核查、专项检查的重点关注方向，企业需要从制度、人员、流程等多方面提前做好应对准备。
参考文献：
国家互联网信息办公室关于《大型个人信息处理者个人信息保护规定（征求意见稿）》公开征求意见的通知：https://www.cac.gov.cn/2026-08/07/c_1787851071612596.htm
如果您的企业或产品目前正在面临合规问题，敬请联系我们。垦丁王捷律师团队在此领域深耕多年，具有多年合规咨询与实务处理的经验。
业绩｜垦丁王捷律师团队已为大量新消费、新零售企业提供出海合规法律服务
业绩｜垦丁王捷律师团队为大量智能制造、智能软硬件提供出海合规法律服务
业绩｜垦丁王捷律师团队为大量 AI 领域企业和产品提供出海合规法律服务
业绩｜垦丁大湾区团队已为众多企业提供数据资产确权、数据资产入表、数据产品交易法律服务
需注意，本文内容仅为一般性法律合规资讯分享与实务解读，不构成王捷律师团队对企业出海的任何针对性法律意见、合规认证、监管结论或服务承诺，具体合规要求须以市场国官方发布的生效法规为准。如果您对本篇文章有任何疑问或存在企业出海的具体咨询，请通过本公众号的私信功能或下方联系方式与我们沟通。
王捷律师
垦丁广州办公室创始合伙人、主任
W&W 国际法律团队创始人
电话：+86 13650790754
邮箱：jie.wang@kindinglaw.com
●曾在阿里巴巴大文娱集团、国际律所与海外仲裁委员会工作积累了15 年+科技型公司实务经验，具备中外律所从业背景。同时也是广东数据资产登记合规委员会评审专家、持有 CIPP/E、CIPM、AIGP、区块链应用操作员资格证书、数据安全师、数据合规官等证书。
●专业领域：企业出海合规、个人信息保护与全球数据合规、互联网企业、联网产品综合合规、包括资质认证辅导、广告合规、知识产权攻防布局等。
●业务领域：移动互联网、智能软硬件与物联网、智能网联汽车与车机系统、跨境电商、社交网络平台、AIGC、区块链、云计算、web3.0、NFT 等。
识别二维码，添加律师微信
END