2026年8月7日，国家互联网信息办公室正式发布《大型个人信息处理者个人信息保护规定（征求意见稿）》（以下简称"《规定》"），将此前两份征求意见稿整合完善后向社会公开征求意见，意见反馈截止时间为2026年9月7日。

《规定》总体概况

本次《规定》并非简单的文件合并，而是监管思路的一次重要升级。国家网信部门将2025年9月发布的《大型网络平台设立个人信息保护监督委员会规定（征求意见稿）》与2025年11月发布的《大型网络平台个人信息保护规定（征求意见稿）》进行了体系化整合，同时将监管对象从"大型网络平台"扩展为"大型个人信息处理者"，标志着我国个人信息保护监管进入"分类分级、重点规制"的新阶段。-个人信息保护

《规定》共六章五十条，外加《个人信息保护监督委员会工作规则制定指引》附件，涵盖总则、个人信息处理规则、大型处理者义务、监督委员会、监督管理与法律责任、附则六大板块。

深度解读

（一）认定标准重构：从"平台用户"到"处理规模"，监管范围实质性扩大（二级）

《规定》第二条确立了大型个人信息处理者的三项认定条件：（1）处理1000万人以上自然人个人信息；

（2）提供涉及个人信息处理的重要网络服务，或经营范围涵盖多种业务且涉及个人信息处理；

（3）处理活动对guo家安全、经济运行、社会稳定、公共健康和安全具有重要影响。

he心变化与专业判断：-个人信息保护

di1，统计口径从"注册用户/月活用户"转为"处理自然人个人信息"。统计范围不再局限于App注册用户，而应覆盖客户、潜客、员工、候选人、供应商联系人、线下访客、设备采集对象等全量自然人。对于集团化企业，还需考虑不同子公司、不同业务线的数据合并计算与去重问题。

第二，1000万人是申报触发门槛而非自动认定标准。企业需自评估后主动申报，finally由国家网信部门会同电信、公安等部门研究确定并公布清单。"未被点名"不等于"无需合规"，企业应建立可解释、可审计的人数统计方法论。

第三，监管范围从互联网平台扩展至金融、通信、医疗健康、交通出行、公共服务、零售消费等全行业。大量传统行业的头部企业将shou次进入"重点监管"视野。

建议：企业应立即启动自然人维度的个人信息资产盘点，按集团-法人-业务线-产品四级建立处理清单，明确去重规则、统计周期和计算依据，形成书面自评估报告备查。

（二）数据本地化升级：从“服务器在境内”到“控制权在境内”（二级）

《规定》第十三至十六条确立了严格的数据本地化制度，要求境内运营中收集和产生的个人信息存储在境内，并对数据中心提出三项硬性条件：-个人信息保护

（1）设立在境内；

（2）数据中心管理机构的法定代表人或实际控制人具有中国国籍；

（3）符合国家政策标准。

专业解读：

这一要求远超传统意义上的“数据物理存储在境内”。监管关注点已从“数据在哪里”转向“谁能控制数据”。企业必须审视：境外集团是否可远程访问中国系统？加密密钥由谁掌握？管理指令从何处发出？境外运维人员是否拥有超级权限？灾备数据是否同步境外？技术支持过程中是否可能调取境内个人信息？

对于使用公有云、集团统一云或第三方托管数据中心的企业，需重新审查云服务合同。被认定后30个工作日内，还需向市级网信部门报送数据中心管理机构、内控制度、安全措施及合同文本。值得注意的是，境内存储不等于禁止数据出境，确有业务需要的仍可走数据出境安全评估、标准合同或保护认证路径。

建议：开展数据中心控制权专项排查，绘制数据流向图，识别境外访问路径与权限配置；对第三方数据中心开展尽职调查，补充合同条款；建立数据中心信息变更的30日报送机制。

（三）个ren权利可操作化：可携带权落地与全生命周期响应（二级）

《规定》第十九条shou次将个人信息转移权（可携带权）转化为可操作的法定义务：完成身份验证后30个工作日内以通用或机器可读格式转移，复杂情形可延长30个工作日；支持通过API或标准化技术方式提供；超合理频次可收取成本费用。同时，删除请求不能删除的应在15个工作日内答复；投诉举报处理时限不超过15个工作日。-个人信息保护

专业判断：

可携带权不再停留在法律文本层面，而要求企业具备技术化、标准化的数据导出能力。企业需提前解决数据格式标准化、身份验证强度、第三方接收验证、加密传输、他ren权益保护、操作日志留存等技术问题，不能长期依赖客服人工导出。

《规定》第十七条对自动化决策提出更细要求：用户关闭个性化推荐后，必须停止将相关个人信息用于推荐目的，并提供删除用户标签功能。"关闭推荐但继续画像"的做法将被明确禁止。第十八条还确立"融合即敏感"规则：通过汇聚、融合处理后符合敏感个人信息特征的，即使原始字段不敏感，也须按敏感个人信息保护。

建议：建立统一的个ren权利请求处理平台；规划数据导出API接口建设；对自动化决策系统进行标签清理机制改造；对画像和融合处理场景开展敏感信息识别评估。

（四）内部治理体系重构：个人信息保护负责人与外部监督委员会双轨制（二级）

《规定》第三章和第四章构建了"内部责任人+外部监督机构"的双层治理架构。-个人信息保护

个人信息保护负责人制度：要求指定一名管理层成员担任负责人，参与个人信息处理事项决策，对风险决策提出合规意见；企业无正当理由不采纳或处理结果违法的，负责人可直接向省级网信部门报告。发生安全事件或大规模侵权风险时，负责人须组织补救并履行报告义务。新稿虽删除了国籍、从业年限等硬性门槛，但建立了"参与决策—提出意见—保留记录—直报监管"的治理机制，实质责任并未减轻。

监督委员会制度：被认定后6个月内须成立监督委员会，成员为单数且不少于7人，外部成员占比不低于三分之二，负责人由外部成员担任且须具备高级个人信息保护合规审计人员能力。外部成员任期3年，lian任不超过两届，同时受聘不超过3家。监督委员会监督范围涵盖合规制度、敏感信息、未成年人保护、影响评估、数据出境、自动化决策、安全事件等十一项事项，至少每6个月召开一次会议，决议须三分之二以上成员同意。

专业判断：个人信息保护已从“法务部门的兼职工作”上升为“董事会层面的治理议题”，需要产品、研发、安全、采购、HR、审计、基础设施等多部门协同。外部监督委员会实质上是在企业内部建立了“准监管”机制。

（五）合规审计与持续监管：从事后应对到常态化治理（二级）

《规定》确立了多维度的持续监管机制：-个人信息保护

1、影响评估备案：涉及自动化决策、敏感个人信息处理、对外提供、公开、出境等高风险活动，应在PIA完成后15个工作日内向国家网信部门备案；

2、两年一度合规审计：每两年至少开展一次个人信息保护合规审计；

3、年度风险评估：每年对个人信息处理活动开展风险评估并整改；

4、年度社会责任报告：每年发布个人信息保护社会责任报告；

5、定期报送：每年di1季度报送上一年度监督委员会履职情况，每两年报送合规审计报告。

第三方审计/评估机构必须注册在中国境内，企业须为其提供网络数据设施、系统及操作日志的访问权限。第四十四条还规定了"强制托管"这一严厉措施：未按要求整改或整改不到位的，监管部门可要求将个人信息向第三方数据中心托管。

（六）特殊群体保护：未成年人个人信息保护升级（二级）

《规定》第三十二条要求通过国家网络身份认证公共服务等方式识别未成年人，每年开展未成年人个人信息保护合规审计（高于一般的两年一次），并指定专人负责。处理不满14周岁未成年人信息须取得监护人同意并提供便捷的同意/撤回渠道。-个人信息保护

（七）法律责任衔接与合规窗口期（二级）

违法处理个人信息或未履行保护义务的，依照《个人信息保护法》《治安管理处罚法》《网络数据安全管理条例》等处理；情节严重的可处五千万元以下或上一年度营业额百分之五以下罚款，并可责令暂停业务、停业整顿、吊销许可，对直接负责的主管人员处十万元以上一百万元以下罚款。-个人信息保护

目前《规定》尚在征求意见阶段，但考虑到认定、申报、监督委员会组建（6个月）、数据中心改造、系统建设等均需较长周期，企业应利用当前窗口期启动合规差距分析与整改规划。

结语

《大型个人信息处理者个人信息保护规定（征求意见稿）》的发布，标志着我国个人信息保护监管体系从"普适性合规"迈向"重点主体精细化治理"的新阶段。1000万人处理规模的门槛、数据中心控制权要求、外部监督委员会制度、影响评估备案制、强制托管措施等一系列制度创新，将深刻影响大型企业的数据治理架构、产品设计逻辑与合规管理体系。-个人信息保护

对于网络安全咨询行业而言，《规定》带来的不only是合规服务需求的增长，更是服务深度的升级——从传统的隐私政策起草、合规差距分析，延伸至数据架构治理、监督委员会组建支撑、技术审计接口建设、跨境数据流动评估、自动化决策合规改造等gao端服务领域。企业应以本次征求意见为契机，quan面评估自身个人信息处理规模与风险状况，将个人信息保护融入业务战略、产品设计与技术架构，构建与监管要求相适配的数据安全治理能力。-个人信息保护

数字安全 关注安言