中國網信辦提出大型個資處理者新規：50條草案有哪些變化？

中國國家互聯網信息辦公室（CAC）已就《大型個人信息處理者個人信息保護規定（徵求意見稿）》公開徵求意見。這份共50條的草案整合了網信辦先前提出的兩份徵求意見稿，但目前仍不是已生效的法律或正式合規義務。

草案鎖定的是以極大規模處理個人信息，或其業務可能對中國國家安全、經濟、社會、公共衛生或公共安全產生重大影響的組織。若最終落地，影響將不只在日常資料蒐集，也會延伸至登記、境內儲存、跨境提供、事故通報、合規報告及獨立監督等層面。

意見徵集截止時間與提交方式

意見須於 2026年9月7日 前送達網信辦。民眾與企業可透過以下方式提交：

• 電子郵件：shujuju@cac.gov.cn
• 郵寄：北京市海淀區阜成路15號國家互聯網信息辦公室網絡數據管理局，郵遞區號100048；信封上應註明本次草案徵求意見事項。

由於目前仍屬公開徵求意見階段，企業應將相關內容視為擬議要求，而非現行法定合規義務。草案第50條也尚未填列生效日期。

哪些組織可能被認定為「大型個人信息處理者」？

草案採取綜合判斷方式，不是只用單一人數門檻。考量因素包括：

• 處理超過 1,000萬名自然人 的個人信息；
• 提供涉及個人信息處理的重要網路服務，或經營多條相關業務線；以及
• 對國家安全、經濟運作、社會穩定、公共衛生或公共安全產生重大影響。

處理超過1,000萬人個資的組織，以及自評符合其他廣泛條件的組織，都須透過省級網信部門申請認定。國家網信辦將會同相關主管機關作出認定，並公開發布名單；對於看似符合條件卻未主動申請的組織，主管機關也可以要求其完成申請程序。

這代表部分具有重大影響力的平台，即使單看使用者人數尚不足以確定是否納管，也可能因服務性質和公共影響而被納入。

境外組織與個人可能面臨資料接收限制

對於在處理個人信息時侵害中國公民個資權益，或危害中國國家安全、公共利益的境外組織或個人，國家網信部門可將其列入限制或禁止提供個人信息的名單並公告。列名者可能被限制或禁止接收來自中國的個人信息。

這項規定的影響對象不只是中國境內負責傳輸資料的平台，也可能直接波及境外接收者。企業進行跨境資料流動的風險評估，因而需要同時納入隱私合規、國家安全及公共利益等因素。

個資處理與同意要求將更嚴格

大型個人信息處理者應依照合法、正當、必要及誠信原則處理個人信息。資料蒐集必須限於產品或服務所必要的範圍，不得過度蒐集。

若以同意作為處理個資的法律依據，以下高風險活動須取得單獨同意：

• 向另一個人信息處理者提供資料；
• 向中國境外提供資料；
• 公開個人信息；以及
• 處理敏感個人信息。

如果處理目的、方式或資料類別發生變更，還須重新取得同意；同時也必須提供便利的撤回同意機制。

對未滿14歲兒童的個人信息進行處理，則須取得父母或其他監護人同意，並提供容易使用的同意及撤回管道。

個資原則上須在中國境內儲存

在中國境內營運時蒐集或產生的個人信息，須儲存在中國境內。使用的資料中心也必須位於中國，並符合適用的國家政策與標準；資料中心管理機構的法定代表人或實際控制人，還必須是中國公民。

草案也把責任延伸至資料中心營運商。營運商應建立內部控制及事故應變計畫，及時發現並修補安全弱點，在規定情況下通知平台與主管機關，並協助處理資料外洩事故。

因此，對使用第三方雲端或資料中心服務的企業而言，資料中心的選擇、合約安排及日常營運監督，將不再只是技術或採購決策，而會成為整體個資合規制度的一部分。

跨境傳輸並非全面禁止，但受到更多限制

境內儲存要求不代表所有資料都不得傳出中國。草案允許因業務確有需要而向境外提供個人信息，但企業必須遵守中國適用的資料出境機制，並取得所需的單獨同意。

實務上，企業需要清楚區分兩件事：第一是在中國境內保存資料；第二是把資料提供給境外接收者。前者是基本儲存要求，後者則會觸發額外的法律及程序性控制。

管理層責任、風險監控與年度報告

草案要求建立更正式的隱私治理架構，包括由高階管理層成員擔任的個人信息保護負責人。相關報導指出，該職位還涉及中國國籍、不得具有外國永久居留或長期居留身分、具備個人信息保護專業知識及相關經驗等條件。

其他擬議治理措施包括：

• 建立直接的合規架構並清楚分配責任；
• 定期進行個人信息保護影響評估；
• 定期接受合規審計；
• 監控個資處理活動及安全漏洞；
• 建立風險識別與補救程序；
• 提供有效的申訴管道及個人權利行使機制；以及
• 每年公開發布個人信息保護社會責任報告。

草案也要求針對未成年人建立專門防護措施，包括實際可行的家長或監護人同意與撤回程序。

外部成員占多數的監督委員會是結構性變化

每一個受規範的大型個人信息處理者，都須設立個人信息保護監督委員會，獨立監督其個資處理活動。

依草案，委員會須符合以下條件：

• 委員人數必須是奇數；
• 至少有 7名委員；
• 委員規模應與組織的業務及使用者規模相稱；
• 至少三分之二成員須為外部成員；以及
• 主席須由外部成員擔任，並具備較高階的個人信息保護合規審計能力。

外部委員須具備獨立性、良好聲譽及相關合規經驗，通常同時擔任大型個人信息處理者監督委員的數量不得超過3家。

委員會的職責包括監督組織的個資合規及重大個人信息保護事項，審查相關政策與高風險處理活動，提出意見或建議，並透過報告及監督安排強化問責。受規範組織也須提供委員會執行職務所需的資源。

這項設計不只是要求企業任命一名隱私主管，而是另行建立一層以外部成員為主的監督機制，讓個資治理正式納入企業問責架構。

可能受規範的企業現在可以做什麼？

在草案尚未定案前，企業最直接的行動，是先判斷自身是否可能符合1,000萬人門檻，或是否符合「重要性與影響力」等更廣泛條件，並在9月7日前準備意見。可能落入適用範圍的企業也可先盤點：

1. 正在處理的個人信息涉及多少人，以及資料類別有哪些；
2. 主要服務、業務線及其可能造成的公共利益影響；
3. 中國個人信息的儲存位置，以及相關資料中心的控制者；
4. 敏感資料、資料提供、公開及跨境傳輸所使用的同意流程；
5. 跨境傳輸機制及境外接收者；
6. 高階管理層責任與審計安排；以及
7. 監督委員會所需的獨立性、成員組成及資源。

這份提案仍可能在徵求意見後修改，但政策方向已相當清楚：中國正考慮把規模最大、影響最廣泛的個資處理者，納入更高強度的營運控制、境內基礎設施、管理層問責及外部隱私監督制度。