• 电子邮件：shujuju@cac.gov.cn
• 信函：寄至北京市海淀区阜成路15号国家互联网信息办公室网络数据管理局，邮编100048；信封上应注明“大型个人信息处理者个人信息保护规定征求意见”。

由于这是一份征求意见稿，企业目前应将其中内容视为拟议义务，而不是已经生效的合规要求。草案第50条也没有填写具体施行日期。

哪些组织可能被认定为大型个人信息处理者？

草案并未只设置一个单一的用户数量门槛，而是要求综合评估。相关因素包括组织是否：

• 处理超过1000万名自然人的个人信息；
• 提供涉及个人信息处理的重要网络服务，或经营多条相关业务线；以及
• 对国家安全、经济运行、社会稳定、公共卫生或公共安全产生重大影响。

处理超过1000万人个人信息的组织，以及经自评认为符合其他综合条件的组织，都需要通过省级网信部门申请认定。国家网信办将会同有关部门确定并公布大型个人信息处理者名单；对于看起来符合条件但没有主动申请的组织，主管部门也可以要求其完成认定程序。

这意味着，某些具有重要影响力的平台，即使单看用户数量尚不能得出结论，也可能被纳入监管范围。

境外组织和个人或面临数据接收限制

草案拟赋予国家网信部门一项权力：如果境外组织或个人开展的个人信息处理活动侵害中国公民个人信息权益，或者危害中国国家安全、公共利益，国家网信部门可以将其列入限制或禁止个人信息提供清单，并向社会公告。被列入清单的实体可能受到接收来自中国的个人信息的限制或禁令。

这项安排的影响对象不只是负责传输数据的中国境内平台，也可能包括境外数据接收方。对企业而言，跨境数据流动的风险评估将不再只是传统意义上的隐私合规审查，还需要考虑接收方活动是否可能触及国家安全或公共利益层面的风险。

个人信息处理和用户同意要求

大型个人信息处理者应按照合法、正当、必要和诚信原则处理个人信息。收集范围应限于实现相关产品或服务所必需的信息，不得过度收集。

在以同意作为处理合法性基础的情况下，以下较高风险活动需要取得单独同意：

• 向其他个人信息处理者提供个人信息；
• 向中国境外提供个人信息；
• 公开个人信息；以及
• 处理敏感个人信息。

如果处理目的、处理方式或个人信息种类发生变化，企业还需要重新取得同意。草案同时要求为个人提供便捷的撤回同意渠道。

对于不满14周岁未成年人的个人信息，处理活动需要取得父母或其他监护人的同意，并应提供易于使用的同意和撤回机制。

境内存储和数据中心管理要求

通过在中国境内运营收集或产生的个人信息，应当存储在中国境内。相关数据中心也必须位于中国境内，并符合适用的国家政策和标准。数据中心管理机构的法定代表人或实际控制人还应当是中国公民。

草案也把责任延伸至数据中心运营者。运营者应建立内部控制制度和事件应急预案，及时发现并修复安全漏洞；在规定情形下向平台和主管部门报告，并协助开展数据泄露等安全事件的处置。

对于使用外部云服务或其他基础设施供应商的企业而言，数据中心的选择、合同安排和日常监督将不再只是技术或采购问题，而会成为整体隐私合规体系的重要组成部分。

数据出境仍有可能，但需要满足更多条件

境内存储要求并不意味着所有个人信息都不能出境。草案允许企业在确有业务需要的情况下向境外提供个人信息，但必须遵守中国现行的数据出境机制，并取得所需的单独同意。

企业需要明确区分两件事：一是把中国境内收集或产生的个人信息存储在境内，二是向境外接收方提供这些信息。前者将成为基础存储要求，后者则会触发额外的法律和程序控制。

内部问责和年度报告将更加正式

草案要求建立更正式的个人信息保护治理架构，包括由管理层成员担任的个人信息保护负责人。相关报道还提到，该职位拟设置中国国籍、无外国永久居留或长期居留身份、具备个人信息保护专业知识和相关工作经验等条件。

其他拟议治理措施包括：

• 建立直接的合规管理架构，明确各方责任；
• 定期开展个人信息保护影响评估；
• 定期进行合规审计；
• 监测个人信息处理活动和安全漏洞；
• 建立风险识别、整改和处置机制；
• 提供有效的投诉渠道和个人权利行使渠道；以及
• 每年公开发布个人信息保护社会责任报告。

草案还强调对未成年人的专门保护，包括切实可行的监护人同意及撤回机制。

外部成员占多数的监督委员会是结构性变化

对纳入范围的大型个人信息处理者，草案拟要求其设立个人信息保护监督委员会，对个人信息处理活动进行独立监督。

监督委员会拟须满足以下条件：

• 成员人数为奇数；
• 至少有7名成员；
• 成员规模与企业的业务规模和用户规模相适应；
• 至少三分之二成员为外部成员；以及
• 主任委员须由外部成员担任，并具备较高水平的个人信息保护合规审计能力。

外部成员应当具备独立性、良好声誉及相关合规工作经验。原则上，外部成员同时担任的大型个人信息处理者不得超过3家。

委员会的职责包括监督企业合规情况和重大个人信息保护事项，审查相关政策及高风险处理活动，提出意见或建议，并通过报告和监督安排强化企业问责。企业还必须为委员会履职提供充足资源。

这并不只是增加一个个人信息保护负责人的职位，而是拟在企业内部建立一层相对独立、且由外部成员占多数的监督机制，让隐私治理正式进入组织问责架构。

对可能纳入范围的企业意味着什么？

现阶段，企业最优先的工作是判断自己是否可能达到1000万人门槛，或是否符合有关业务重要性和社会影响的综合标准，并在9月7日前准备反馈意见。可能被纳入范围的企业还应尽早梳理以下事项：

1. 正在处理的个人信息主体数量及信息类别；
2. 主要服务、业务线及其可能产生的公共利益影响；
3. 中国境内个人信息的存储地点，以及相关数据中心的控制和管理主体；
4. 敏感个人信息、对外提供、公开和数据出境环节的同意流程；
5. 数据出境机制及境外接收方；
6. 管理层责任、合规审计和报告安排；以及
7. 监督委员会所需的独立性、成员构成和资源保障。

草案仍可能在征求意见后调整。不过，其监管方向已经相当清晰：对于规模最大、影响最广的数据处理者，中国正在考虑一套更高强度的制度，要求其强化日常运营控制、建设境内基础设施、落实高层问责，并接受外部主导的隐私监督。

• 电子邮件：shujuju@cac.gov.cn
• 信函：寄至北京市海淀区阜成路15号国家互联网信息办公室网络数据管理局，邮编100048；信封上应注明“大型个人信息处理者个人信息保护规定征求意见”。

由于这是一份征求意见稿，企业目前应将其中内容视为拟议义务，而不是已经生效的合规要求。草案第50条也没有填写具体施行日期。

哪些组织可能被认定为大型个人信息处理者？

草案并未只设置一个单一的用户数量门槛，而是要求综合评估。相关因素包括组织是否：

• 处理超过1000万名自然人的个人信息；
• 提供涉及个人信息处理的重要网络服务，或经营多条相关业务线；以及
• 对国家安全、经济运行、社会稳定、公共卫生或公共安全产生重大影响。

处理超过1000万人个人信息的组织，以及经自评认为符合其他综合条件的组织，都需要通过省级网信部门申请认定。国家网信办将会同有关部门确定并公布大型个人信息处理者名单；对于看起来符合条件但没有主动申请的组织，主管部门也可以要求其完成认定程序。

这意味着，某些具有重要影响力的平台，即使单看用户数量尚不能得出结论，也可能被纳入监管范围。

境外组织和个人或面临数据接收限制

草案拟赋予国家网信部门一项权力：如果境外组织或个人开展的个人信息处理活动侵害中国公民个人信息权益，或者危害中国国家安全、公共利益，国家网信部门可以将其列入限制或禁止个人信息提供清单，并向社会公告。被列入清单的实体可能受到接收来自中国的个人信息的限制或禁令。

这项安排的影响对象不只是负责传输数据的中国境内平台，也可能包括境外数据接收方。对企业而言，跨境数据流动的风险评估将不再只是传统意义上的隐私合规审查，还需要考虑接收方活动是否可能触及国家安全或公共利益层面的风险。

个人信息处理和用户同意要求

大型个人信息处理者应按照合法、正当、必要和诚信原则处理个人信息。收集范围应限于实现相关产品或服务所必需的信息，不得过度收集。

在以同意作为处理合法性基础的情况下，以下较高风险活动需要取得单独同意：

• 向其他个人信息处理者提供个人信息；
• 向中国境外提供个人信息；
• 公开个人信息；以及
• 处理敏感个人信息。

如果处理目的、处理方式或个人信息种类发生变化，企业还需要重新取得同意。草案同时要求为个人提供便捷的撤回同意渠道。

对于不满14周岁未成年人的个人信息，处理活动需要取得父母或其他监护人的同意，并应提供易于使用的同意和撤回机制。

境内存储和数据中心管理要求

通过在中国境内运营收集或产生的个人信息，应当存储在中国境内。相关数据中心也必须位于中国境内，并符合适用的国家政策和标准。数据中心管理机构的法定代表人或实际控制人还应当是中国公民。

草案也把责任延伸至数据中心运营者。运营者应建立内部控制制度和事件应急预案，及时发现并修复安全漏洞；在规定情形下向平台和主管部门报告，并协助开展数据泄露等安全事件的处置。

对于使用外部云服务或其他基础设施供应商的企业而言，数据中心的选择、合同安排和日常监督将不再只是技术或采购问题，而会成为整体隐私合规体系的重要组成部分。

数据出境仍有可能，但需要满足更多条件

境内存储要求并不意味着所有个人信息都不能出境。草案允许企业在确有业务需要的情况下向境外提供个人信息，但必须遵守中国现行的数据出境机制，并取得所需的单独同意。

企业需要明确区分两件事：一是把中国境内收集或产生的个人信息存储在境内，二是向境外接收方提供这些信息。前者将成为基础存储要求，后者则会触发额外的法律和程序控制。

内部问责和年度报告将更加正式

草案要求建立更正式的个人信息保护治理架构，包括由管理层成员担任的个人信息保护负责人。相关报道还提到，该职位拟设置中国国籍、无外国永久居留或长期居留身份、具备个人信息保护专业知识和相关工作经验等条件。

其他拟议治理措施包括：

• 建立直接的合规管理架构，明确各方责任；
• 定期开展个人信息保护影响评估；
• 定期进行合规审计；
• 监测个人信息处理活动和安全漏洞；
• 建立风险识别、整改和处置机制；
• 提供有效的投诉渠道和个人权利行使渠道；以及
• 每年公开发布个人信息保护社会责任报告。

草案还强调对未成年人的专门保护，包括切实可行的监护人同意及撤回机制。

外部成员占多数的监督委员会是结构性变化

对纳入范围的大型个人信息处理者，草案拟要求其设立个人信息保护监督委员会，对个人信息处理活动进行独立监督。

监督委员会拟须满足以下条件：

• 成员人数为奇数；
• 至少有7名成员；
• 成员规模与企业的业务规模和用户规模相适应；
• 至少三分之二成员为外部成员；以及
• 主任委员须由外部成员担任，并具备较高水平的个人信息保护合规审计能力。

外部成员应当具备独立性、良好声誉及相关合规工作经验。原则上，外部成员同时担任的大型个人信息处理者不得超过3家。

委员会的职责包括监督企业合规情况和重大个人信息保护事项，审查相关政策及高风险处理活动，提出意见或建议，并通过报告和监督安排强化企业问责。企业还必须为委员会履职提供充足资源。

这并不只是增加一个个人信息保护负责人的职位，而是拟在企业内部建立一层相对独立、且由外部成员占多数的监督机制，让隐私治理正式进入组织问责架构。

对可能纳入范围的企业意味着什么？

现阶段，企业最优先的工作是判断自己是否可能达到1000万人门槛，或是否符合有关业务重要性和社会影响的综合标准，并在9月7日前准备反馈意见。可能被纳入范围的企业还应尽早梳理以下事项：

1. 正在处理的个人信息主体数量及信息类别；
2. 主要服务、业务线及其可能产生的公共利益影响；
3. 中国境内个人信息的存储地点，以及相关数据中心的控制和管理主体；
4. 敏感个人信息、对外提供、公开和数据出境环节的同意流程；
5. 数据出境机制及境外接收方；
6. 管理层责任、合规审计和报告安排；以及
7. 监督委员会所需的独立性、成员构成和资源保障。

草案仍可能在征求意见后调整。不过，其监管方向已经相当清晰：对于规模最大、影响最广的数据处理者，中国正在考虑一套更高强度的制度，要求其强化日常运营控制、建设境内基础设施、落实高层问责，并接受外部主导的隐私监督。