日前，国家互联网信息办公室发布《大型个人信息处理者个人信息保护规定（征求意见稿）》（以下简称《征求意见稿》），面向社会公开征求意见。公众可通过邮件或函件方式提出反馈意见，截止时间为2026年9月7日。“这份征求意见稿的核心意义，是我国个人信息保护正在从大型互联网平台监管向大型个人信息处理者风险监管迈进。”全联并购公会首席信用专家、北京信用学会副会长刘新海在接受记者采访时表示。
一、拓宽监管范围，明确“大型个人信息处理者”标准
以往，个人信息保护的监管重点多集中于大型网络平台，而《征求意见稿》将监管核心扩展至大型个人信息处理者。什么是大型个人信息处理者呢？
《征求意见稿》第二条指出，“大型个人信息处理者”的认定条件有三个：一是处理1000万人以上自然人个人信息；二是提供涉及个人信息处理的重要网络服务，或者经营范围涵盖多种业务且涉及个人信息处理；三是个人信息处理活动对国家安全、经济运行、社会稳定、公共健康和安全等具有重要影响。
刘新海把这三个认定条件概括为规模、业务复杂性和网络属性以及系统影响。
这意味着，除了互联网巨头，符合要求的大型商业银行、保险公司、通信运营商、大型交通出行企业、大型医疗健康集团乃至全国性连锁机构，都可能进入监管视野。金融账户、医疗健康、生物识别、行踪轨迹本身就是《个人信息保护法》列举的敏感个人信息，处理这类信息的机构将面临更严格的合规考验。
是否可能存在大型个人信息处理者认定偏差的情况？业内专家认为，《征求意见稿》在具体认定的时候兼顾了定性和定量标准，并引入了动态管理机制，给出了认定偏差后的修正空间。
素喜智研高级研究员苏筱芮表示，具体而言，认定采取“企业自评估与主动申报+多部门协同研究与清单公告”的模式，同时被认定的大型个人信息处理者认为自身不符合条件可在满足期限后申请变更。
二、治理升级，优化合规架构
面对跨行业、大体量的监管对象，如何避免多头执法与企业合规成本高企，是《征求意见稿》试图解决的另一大难题。
《征求意见稿》明确了国家网信部门的统筹主导地位，构建了央地两级个人信息监管架构。工信部信息通信经济专家委员会委员盘和林认为，这厘清了各部门分工，构建了信息共享和工作协调的具体机制。苏筱芮也提到，《征求意见稿》第四条“加强大型个人信息处理者有关信息的共享和工作协同”的表述，是打破信息孤岛、形成监管合力的关键。
在刘新海看来，解决这一难题要实现“四个统一”：统一监管入口、统一基础材料、统一检查结果、统一整改口径。“比如一次重大个人信息安全事件，如果网信、公安、行业主管部门分别要求审计、检查、整改，企业成本会很高，且标准可能不一。”他建议在大型个人信息处理者监管中推广“一次检查，多部门共享”原则。
除了外部监管的协同，企业机构内部也需建立与之匹配的制衡架构。《征求意见稿》第三十七条要求大型个人信息处理者应当自被认定之日起6个月内成立个人信息保护监督委员会。该委员会成员中外部成员占比不低于三分之二，且负责人由外部成员担任。
刘新海特别强调企业个人信息保护负责人的权力，“负责人不仅必须由管理层成员担任，而且可以参与重大个人信息处理决策，对风险提出意见，在企业无正当理由不处理合规意见时，他可以直接向省级网信部门报告。”他认为，这意味着过去一些企业中形同虚设的“首席隐私官（Chief Privacy Officer, CPO）、数据保护官（Data Protection Officer，DPO）”，将从咨询角色进一步变成实质性的公司治理角色，赋予个人信息保护负责人更大的实权。
三、明确域外监管效力，防范跨境与数据融合隐患
随着数字经济的全球化，《征求意见稿》在个人信息处理活动的域外管辖和数据融合治理方面也作出了规定。
针对第七条对境外组织、个人提出的“限制或者禁止个人信息提供清单”，苏筱芮表示，这一域外管辖条款在我国立法中已有明确先例。刘新海进一步表示，国际上也有相似机制，如欧盟GDPR同样具有明显域外适用效力，美国司法部去年出台的Data Security Program也具有接近数据安全出口管制的效用。他表示，域外效力本身已经非常普遍，真正值得关注的是未来启动这一制度的程序正当性，包括证据标准、告知、陈述申辩、复核以及退出清单的机制。
在完善域外管辖相关规定外，《征求意见稿》还对数据融合带来的新型个人信息风险作出专门规制。第十八条明确，如果个人信息经过汇聚或者融合等处理后达到敏感个人信息的性质，就按照敏感个人信息进行识别与保护。刘新海表示：“人工智能时代真正的风险往往不是企业掌握某一个字段，而是多个普通字段组合后可以准确推断一个人的疾病、收入、消费能力、社会关系乃至行为习惯。”
四、个人信息权利走向“可执行”，打通维权“最后一公里”
个人信息维权的痛点在于成本高、举证难。《征求意见稿》在降低维权门槛方面做出了尝试。
刘新海表示，《征求意见稿》将部分权利明确为有期限、可操作的程序。例如投诉举报最长15个工作日处理；删除请求确有理由不能删除的，应在15个工作日内答复；符合条件的信息转移请求原则上30个工作日处理。“这对消费者是利好。”他表示，“但实际维权仍面临3个困难。第一是不知道企业具体收到了什么信息；第二是很难取得后台证据；第三是单个案件损失金额有时不易量化。”
对此，他建议普通消费者不要笼统地抱怨侵犯隐私，而应提出具体个人信息权利请求，如“请告诉我收集了哪些信息”“请提供一份我的个人信息副本”“请删除某项信息”“请停止个性化推荐”“请说明信息提供给了哪些第三方”。
苏筱芮也给出了实操建议：普通消费者发现信息泄露后，首要行动是固定证据，包括截图、录屏、保存骚扰短信、邮件或通话录音等，然后通过国家网信办举报中心、12321网络不良与垃圾信息举报受理中心、12315热线等行政投诉举报。
“无论是传统行业还是互联网行业，都需要重新审视自己的数据处理链条与公司治理架构。而对于普通消费者而言，一个更加透明、可控的个人信息保护环境，正逐步走向现实。”业内专家表示。
