导言
2026年7月，国家互联网信息办公室（以下简称“国家网信办”）和公安部联合发布了《小型个人信息处理者个人信息保护简化措施规定》（以下简称“《小型处理者规定》”），《小型处理者规定》将于2026年9月1日起施行；此后，国家网信办又于8月发布了《大型个人信息处理者个人信息保护规定（征求意见稿）》（以下简称“《大型处理者规定》”），并公开征求意见。后者整合此前针对大型网络平台的两份征求意见稿，并将规范对象扩展至符合条件的“大型个人信息处理者”。[1]
《小型处理者规定》的出台与《大型处理者规定》的发布，反映出我国个人信息保护制度在统一保护底线的基础上，按照处理者定位和规模配置治理要求、依据具体风险叠加专项义务的分层治理路径。具体而言，小型个人信息处理者（以下简称“小型处理者”）的履责方式趋于简化和集约，大型个人信息处理者（以下简称“大型处理者”）的组织责任、程序控制和证明要求则拟进一步强化；处于两端规则之外的处理者，仍需在一般规则下识别数量门槛、处理风险和专项身份带来的义务叠加。由此，分层治理的适用既涉及处理者的主体定位，也需要回到具体业务，说明履责尺度的依据并保留可供核验的记录。本文将在对比两项规则差异的基础上，梳理分层治理的架构，为相关处理者提供参考和借鉴。
一、分层治理规则如何划分主体边界
（一）《个人信息保护法》已经为差异化治理预留制度空间
作为个人信息保护的顶层设计和基础法律的《个人信息保护法》以统一适用的处理原则和处理者义务为基础，同时设置了差异化规则。该法第51条要求处理者根据处理目的、处理方式、信息种类、对个人权益的影响及可能存在的安全风险采取保护措施；第58条对提供重要互联网平台服务、用户数量巨大、业务类型复杂的处理者规定独立监督机构、平台规则和社会责任报告等特别义务；第62条进一步授权国家网信部门针对小型处理者以及敏感个人信息、人脸识别、人工智能等制定专门规则、标准。
可见，在《个人信息保护法》的框架下，监管不仅关注处理规模、组织能力、业务复杂度及社会影响，用于配置治理资源和监督机制；同样关注敏感个人信息、未成年人信息、自动化决策、对外提供、公开和出境等具体活动，用于触发单独同意、影响评估或者更严格保护。小型处理者亦可能因高风险活动承担较强的合规义务，而大型处理者则在此同时承担更高的组织和证明责任。
（二）处理者如何判断自身所属层级类别
表1：个人信息处理者所属类别的识别方式
（三）层级分类识别需要动态调整
对于小型处理者识别要件的处理规模，根据官方答记者问，“不满10万人”不包含本数，按照处理者当前处理所涉及的自然人累计统计，已经删除的信息不计入[3]，即理论上在任一时点，处理者的累计处理规模达到10万人及以上，将丧失小型处理者的身份，除非删除信息，否则应当按照一般规则的处理者身份履行相关义务。
对于大型处理者而言，前述识别要件（包括处理规模、业务属性、社会影响）连续六个月不再符合后可以申请变更。实务中，企业并购、会员体系整合、产品扩张和数据删除等，均可能改变分类基础。已经被认定的大型处理者根据动态调整的结果，可以申请变更认定结果。
因此，处理者的层级类别划分是一项带有动态判断时效的法律结论，至少应能够说明统计主体、数据口径、去重方法和适用依据，并在重大变化后进行动态管理和复核。
二 、同一保护底线如何形成不同履责尺度
（一）分层规则建立在共同保护底线之上
个人信息处理者无论处理规模大小，均须遵守《个人信息保护法》确立的共同要求。具体而言，至少包括：遵守合法、正当、必要、诚信和最小范围原则，具有合法的个人信息处理基础并依法履行告知义务；建立个人行权受理和处理机制，保障查阅、复制、更正、删除及撤回同意等权利；采取分类管理、权限控制、加密、去标识化和应急处置等安全措施，并依法开展合规审计；处理敏感个人信息、未成年人个人信息，或者实施自动化决策、委托处理、对外提供、公开、出境等活动时，还须履行相应的特别告知、单独同意、影响评估及记录保存等专项义务。上述要求不会因处理者属于小型处理者，或者尚未被认定为大型处理者而当然免除。
《小型处理者规定》第3条将简化措施建立在遵守相关法律、行政法规和国家有关规定的前提上，并且仍对敏感个人信息和未成年人个人信息保留专门要求。因此，小型处理者获得的主要是履责方式、实施工具、审计频率和组织形式上的简化，不构成对《个人信息保护法》共同义务的概括性豁免。《大型处理者规定》同样建立在上述共同义务之上。其拟议要求主要体现为进一步提高履责强度，仍须首先履行《个人信息保护法》规定的一般义务，再叠加征求意见稿拟设置的组织、程序和证明要求。[4]
（二）分层治理的具体体现
表2：不同类别个人信息处理者的义务差异
如表2所示，在分层治理的脉络下，不同规模的个人信息处理者的核心义务存在诸多差异。
（三）风险因素可以跨越规模分类提高具体义务
规模决定处理者适用的基础治理架构，具体处理活动的性质、数量、场景及其可能造成的影响，则会进一步触发专项义务。即使属于小型处理者，处理人脸、医疗健康等敏感个人信息，仍须满足特定目的、充分必要、单独同意和事前影响评估等要求；处理不满十四周岁未成年人个人信息的，还须取得监护人同意并制定专门处理规则。此外，凡处理未成年人个人信息，均须依照《未成年人网络保护条例》第37条每年开展合规审计。[5]
同样，未被列入大型个人信息处理者清单的处理者仍可能因处理数量达到其他法定门槛，或者涉及自动化决策、个人信息出境、重要数据、关键信息基础设施及特定行业监管等事项，承担相应的评估、审计、报送或者安全保护义务。
我们认为，企业判断自身应履行的个人信息保护义务，可以沿“主体分层 + 行为分级”两个维度展开。在主体维度上，处理者的规模决定其整体应建立何种治理架构，以及以何种频率、方式和材料履行并证明合规义务；在行为维度上，具体处理活动的风险高低，决定该项活动须满足哪些合法性条件，以及是否需要单独同意、个人信息保护影响评估和专项安全措施等强化要求。前者着眼于处理者的整体治理能力，后者着眼于具体处理活动对个人权益的影响。
三、分层规则下的合规判断与治理准备
（一）小型处理者：注意核验简化措施的适用条件
处理人数符合小型处理者标准，仅构成适用简化规则的主体前提。《小型处理者规定》所列各项措施仍有各自的适用条件：以公开处理规则履行告知义务，取决于信息是否为提供产品或者服务所必需、是否属于敏感个人信息以及是否向外提供；依托园区或者平台规则履责，取决于具体处理活动是否落入既有规则的覆盖范围；出境便利措施和认证有效期内的审计减免，也须分别满足相应条件。因此，小型处理者身份不能当然推导出全部简化措施均可适用。
《小型处理者规定》没有统一要求处理者就每项简化措施制作专门证明文件。但在监管检查、投诉处理或者安全事件调查中，处理者仍应能够说明其判断依据。因此，建议分别保留两类记录：一类用于说明处理人数的统计口径、数据来源和统计时点；另一类用于记录具体业务所涉信息种类、收集方式、对外提供情况，以及园区或者平台规则的实际覆盖范围。处理人数超过标准、处理活动超出平台规则范围，或者新增敏感个人信息、未成年人个人信息处理时，企业应及时重新判断相关简化措施能否继续适用，并补充履行告知、同意、影响评估、审计及安全保护等义务。第18、19条所规定的不予处罚、从轻或者减轻处罚，属于违法行为发生后的裁量安排，其适用以违法轻微、及时改正或者有效补救等法定情形为前提，不能成为事前降低合规投入的依据。
（二）适用一般规则的处理者：围绕实际触发因素安排合规资源
此类处理者的合规义务往往由多组条件共同决定：当前处理人数、年度累计出境人数和敏感个人信息人数采用不同的统计口径；个人信息保护负责人、合规审计和数据出境机制分别具有相应的数量或者身份条件；敏感个人信息、未成年人个人信息、自动化决策、委托处理、对外提供以及特定行业监管，则根据处理活动的性质另行提出要求。需要注意的是，处理数量处于小型与大型之间，并不意味着风险和义务强度即居于中间水平。
仍建议将《个人信息保护法》规定的处理原则、合法性基础、告知、个人权利保障和安全管理作为常态要求，并且根据处理数量、信息敏感程度、处理方式、数据流向和特定主体身份，判断是否产生附加义务。
（三）潜在大型处理者：区分能力准备与待定制度配置
对于已经处理1000万人以上个人信息，并可能同时符合业务复杂程度和重大社会影响等条件的处理者，可以参照《大型处理者规定》的拟议标准，提前评估进入大型个人信息处理者清单的可能性。征求意见稿所体现的变化，集中在个人信息保护责任进一步进入管理层决策、业务执行和外部监督机制。个人信息保护负责人能否参与相关决策，业务部门能否承担日常管理责任，审计、评估与整改能否衔接运行，以及企业能否持续提供可靠的履责信息，将成为判断治理机制是否有效的重要依据。
鉴于《大型处理者规定》仍处于征求意见阶段，具体内容和要求有可能发生变化和调整，但同时考虑到作为大型处理者组织结构、业务等调整需要相当的时间准备。我们建议现阶段处理者可以结合自身业务和组织情况，有步骤分阶段进行部署准备。首先，可以优先研究建设受规则文本变化影响较小的基础能力，包括梳理功能层面的个人信息处理情况，完善管理层报告和重大事项决策机制，明确个人信息保护负责人与业务部门的责任边界，形成高风险产品上线前评估、定期审计和问题整改的衔接机制。其次，对于数据中心，可以先行查明个人信息的存储位置、控制关系、委托处理安排、跨境访问路径和安全管理现状，为正式规则出台后的差距分析提供基础。再次，监督委员会的具体人数和任职条件、影响评估报告的备案范围、各项报送时限等，与征求意见稿最终内容密切相关。此类安排宜在正式规则明确后再作精确配置，现阶段应以摸清现状、识别差距和预留调整空间为主。
总体而言，三类处理者所需作出的合规说明各有侧重：小型处理者需要说明主体条件和具体简化条件均已满足；适用一般规则的处理者需要说明相关业务事实已被准确识别，并触发了相应义务；潜在大型处理者还需关注治理机制能否持续运行并接受外部核验。
结语
综上所述，我们理解分层治理的目的在于兼顾个人信息保护的合规要求和不同处理者合规成本投入的实际情况，是深化个人信息保护及监管工作的必然选择，也符合社会经济发展的需要和世界立法监管的总体趋势。根据风险程度和能力水平等差异性，小型处理者可以借助简化工具和外部支持降低履责成本，大型处理者则拟承担更强的组织治理、持续验证和责任公开要求；其他处理者仍应依据具体处理活动，识别数量、信息类型、处理方式及主体身份所触发的附加义务。
企业作为个人信息处理者可以依据分层治理的要求，根据自身的处理规模、业务属性、社会影响等因素，并结合监管认定的变化，区别性采取对应措施，既保证满足与自身分层定位相应的合规义务，又可以科学有效地控制合规成本。但同时需要注意，具体义务的范围，也会随处理场景及其风险而增减。企业需要以可复核的事实确定适用的规则，并在业务变化时及时复核、相应调整，做到张弛有道，抓大放小。
（实习生周宇晖亦有贡献）
注释
[1] 国家互联网信息办公室、公安部令第25号《小型个人信息处理者个人信息保护简化措施规定》，2026年7月22日公布，自同年9月1日起施行；国家互联网信息办公室《关于〈大型个人信息处理者个人信息保护规定（征求意见稿）〉公开征求意见的通知》，2026年8月7日公布，意见反馈截止时间为2026年9月7日。
[2] 《个人信息保护合规审计管理办法》第12条、第4条、《网络数据安全管理条例》第28条。上述规范分别使用“处理100万人以上”“处理超过1000万人”和“处理1000万人以上”的表述。
[3] 国家互联网信息办公室《〈小型个人信息处理者个人信息保护简化措施规定〉答记者问》第3问。
[4] 《大型个人信息处理者个人信息保护规定（征求意见稿）》第8条规定，大型个人信息处理者处理个人信息，应当遵循合法、正当、必要和诚信原则，遵守法律、行政法规，尊重社会公德和伦理。
[5] 《个人信息保护法》第29条、第31条；《未成年人网络保护条例》第37条。
