网信办就《小型个人信息解决者个人信息保护简化措施规定》答记者问

幸福家庭网持续关注相关进展，现将详情分享如下。

　　《小型个人信息解决者个人信息保护简化措施规定》答记者问

　　不久前，国家网信办、公安部联合公布《小型个人信息解决者个人信息保护简化措施规定》(以下简称《规定》)。国家网信办有关负责同志就《规定》回答了记者提问。

　　问1：请介绍一下《规定》的出台背景？

　　答：党的二十大报告提出，加快搭建网络强国、数字中国，强化网络、数据等安全保障体系搭建，夯实个人信息保护，支持中小微厂商成长。党的二十届四中全会提出，夯实个人信息保护，支持中小厂商和个体工商户成长。《个人信息保护法》第六十二条规定，国家网信部门统筹协调有关部门就小型个人信息解决者，制定专门的个人信息保护规则、标准。

　　出台《规定》，是贯彻落实党中央关于夯实个人信息保护和支持中小微厂商成长工作部署，落实《个人信息保护法》有关要求的重要举措，有利于在坚守个人信息安全底线的同时，减少小型个人信息解决者合规成本，增强小型个人信息解决者个人信息保护水平，为中小微厂商创新成长提供法治保障。

　　问2：《规定》的适用范围是什么？

　　答：在中华人民共和国境内的小型个人信息解决者实施个人信息保护，适用《规定》。

　　《规定》所称小型个人信息解决者，是指解决不满10万人个人信息的个人信息解决者。

　　问3：《规定》中的“解决不满10万人个人信息”，相关数量如何进行统计？

　　答：解决不满10万人个人信息，在计数时，不包含10万人本数，按照个人信息解决者当前解决个人信息涉及的自然人数量进行累计统计，不涵盖已经删除的个人信息。

　　问4：《规定》的主要内容是什么？

　　答：《规定》主要对下列内容进行了规定：一是明确小型个人信息解决者个人信息解决规则等的简化措施，规定小型个人信息解决者制定公开个人信息解决规则、履行告知义务、取得个人同意、受理个人行使权利申请、删除个人信息等的简化措施。二是明确小型个人信息解决者履行个人信息保护义务的简化措施，规定小型个人信息解决者开展个人信息保护合规审计、个人信息保护冲击评估、建立个人信息保护管理制度、履行个人信息安全事件补救和通知义务等的简化措施。三是明确监督管理要求，规定对小型个人信息解决者不予处罚、从轻或者减轻处罚的情形，鼓励履行个人信息保护职责的部门减少小型个人信息解决者合规成本，明确违反规定的法律责任。同时，《规定》以附件形式提供了《小型个人信息解决者个人信息保护合规审计自查表》《小型个人信息解决者个人信息保护冲击评估表》，便于小型个人信息解决者自行开展个人信息保护合规审计、个人信息保护冲击评估。

　　问5：《规定》对小型个人信息解决者制定公开个人信息解决规则，提出了哪些简化措施？

　　答：《规定》明确小型个人信息解决者个人信息解决规则应当涵盖的内容，并提供线下、线上公开个人信息解决规则的简便方式。按照《规定》要求，小型个人信息解决者个人信息解决规则至少应当涵盖下列内容：(一)小型个人信息解决者名称或者姓名；(二)个人行使权利的受理部门或者人员及联系方式；(三)个人信息的解决目的、解决方式，解决的个人信息种类、保存期限等。小型个人信息解决者线下收集个人信息的，可以凭借在经营场所醒目位置张贴公告等简便方式公开个人信息解决规则；线上收集个人信息的，可以凭借服务协议、产物服务客户端弹窗和网站公告等方式公开个人信息解决规则。

　　《规定》明确，支持园区、产业基地、商业物业等服务管理单位，为其服务管理范围内开展相同线下业务的小型个人信息解决者统一制定并在显著位置公开个人信息解决规则。同意遵守统一个人信息解决规则且在该规则中被列明的小型个人信息解决者，可以不再制定个人信息解决规则。

　　问6：《规定》对小型个人信息解决者履行告知、取得个人同价值务，提出了哪些简化措施？

　　答：小型个人信息解决者同时符合下列条件的，可以仅凭借公开个人信息解决规则向个人履行告知义务：(一)解决个人信息(不含敏感个人信息)为提供产物或者服务所必需；(二)不向其他个人信息解决者提供且不对外公开个人信息，并在个人信息解决规则中明示。

　　对于公开个人信息解决规则并履行告知义务的小型个人信息解决者，《规定》明确，个人因获取产物或者服务需求，在充分知情的前提下自愿、主动向或者自愿、主动配合小型个人信息解决者提供获取产物或者服务所必需的个人信息的，小型个人信息解决者即可按照公开的个人信息解决规则解决其个人信息；为特定目的解决敏感个人信息的，小型个人信息解决者应当在个人信息解决规则中告知解决敏感个人信息的必要性以及对个人权益的冲击，取得个人的单独同意。

　　法律、行政法规、部门规章对于小型个人信息解决者解决敏感个人信息另有规定的，从其规定。

　　问7：《规定》对依托网络平台解决个人信息的小型个人信息解决者，提出了哪些简化措施？

　　答：同时符合下列条件的小型个人信息解决者，可以不再制定个人信息解决规则、履行告知义务：(一)小型个人信息解决者仅凭借网络平台开展个人信息解决活动，且不向网络平台外的其他个人信息解决者提供；(二)网络平台已就小型个人信息解决者个人信息解决活动，制定披露了相应的个人信息解决规则，并与小型个人信息解决者约定了各自的权利和义务；(三)小型个人信息解决者声明遵守网络平台按照本规定要求制定的个人信息解决规则，且解决个人信息为提供产物或者服务所必需，未超出前项规则载明的解决目的、解决方式和个人信息种类范围。

　　对于符合前述规定条件的小型个人信息解决者，网络平台已开展个人信息保护合规审计、个人信息保护冲击评估，覆盖小型个人信息解决者依托该网络平台开展的个人信息解决活动的，小型个人信息解决者可以不再重复开展。

　　小型个人信息解决者解决个人信息的目的、解决方式和种类超出网络平台个人信息解决规则范围的，应当按照《规定》要求另行制定个人信息解决规则并履行告知、合规审计和冲击评估义务。网络平台调整个人信息解决规则的，应当及时通知相关小型个人信息解决者。

　　问8：《规定》对小型个人信息解决者开展个人信息保护合规审计、个人信息保护冲击评估，提出了哪些简化措施？

　　答：《规定》以附件形式提供了《小型个人信息解决者个人信息保护合规审计自查表》《小型个人信息解决者个人信息保护冲击评估表》，小型个人信息解决者可以按照附件的简便方式，开展个人信息保护合规审计和个人信息保护冲击评估。个人信息保护合规审计至少每五年开展一次，法律、行政法规对于解决未成年人个人信息的合规审计另有规定的，从其规定。

　　《规定》明确，支持个人信息保护认证机构就小型个人信息解决者开展认证工作，提高服务质量。凭借个人信息保护认证的小型个人信息解决者，在认证奏效期内可以免予开展个人信息保护合规审计。

　　问9：《规定》对小型个人信息解决者的监督管理，作了哪些规定？

　　答：对小型个人信息解决者的监督管理，《规定》作出以下规定：一是明确对小型个人信息解决者不予处罚、从轻或者减轻处罚的情形。规定对小型个人信息解决者依法不予处罚的，履行个人信息保护职责的部门应当视情采取约谈、发送提示函等监管措施。二是明确支持厂商、相关社会组织、专业机构等凭借组织培训、讲座、普法活动、咨询辅导等方式，帮助小型个人信息解决者增强个人信息保护能力水平。三是明确鼓励履行个人信息保护职责的部门为小型个人信息解决者提供安全便捷个人信息解决的基础设施、科技工具、咨询服务等，减少小型个人信息解决者合规成本。四是明确网信部门、公安机关和其他履行个人信息保护职责的部门可以采取抽查评估、审计报告等方式对小型个人信息解决者履行个人信息保护义务情形进行监督检查。

　　(“网信中国”微信公众号)