可见，是否“小型”的核心判断标准，关键看两点：

1. 处理规模量：处理个人信息的人数＜10万（即不含本数）。而根据国家网信办答记者问的相关回复，此等规模量应以个人信息处理者当前处理个人信息涉及的自然人数量进行累计统计，且不包括已经删除的个人信息；

2. 处理者物理位置：应位于中华人民共和国境内。

如若不符合以上任一的，均无法适用小型个人信息处理者的简化措施。

二、二者合规义务负担究竟有何不同？

对比《个保法》规定，《简化措施规定》为小型个人信息处理者主要在如下层面进行了“松绑”：

综上脉络不难发现，《简化措施规定》在“规则制定—告知同意—信息转移传输—审计评估—事件处置—责任认定”全链条上做了系统性减法。

不过，《简化措施规定》作为部门规章，其在效力层级上应属于《个保法》的下位法，故仍需在《个保法》的框架体系内运作。换言之，《简化措施规定》应理解为《个保法》的特别配套规则，二者并非互斥关系。故而，倘若中国境内小型个人信息处理者累计处理达到或突破前述10万人的规模上限，即会转化为一般个人信息者，进而无法适用《简化措施规定》的优惠政策，而将落入《个保法》的一般监管框架。为应对或将变化的监管口径，中小微企业应提前做好合规方案设计和部署准备，详见本文第四节。

三、“小型个人信息处理者”有哪些可参考的典型场景？

“小型个人信息处理者”有哪些可参考的典型场景？

为更具象化地理解上述新规的落地效果，对于已经符合前述“处理规模量”及“处理者物理位置”标准的小型个人信息处理者，我们进一步整理其在《简化措施规定》下可能的典型现实场景如下，以方便相关企业等对照自查：

1. 社区、街边小微商户：如理发店、健身房、便利店、快餐店等，常见模式是通过线上小程序或通过线下纸质表单供顾客进行会员登记、点单并收集顾客手机号、名称、订单信息等。根据《简化措施规定》第四条，需公告处理规则，如线上以弹窗等方式进行公告、线下在经营场所醒目位置张贴等。

2. 商圈、园区、产业基地、写字楼内企业：根据《简化措施规定》第五条，可由服务管理单位为其服务管理范围内所有线下相同业务企业统一制定并公开处理规则，此时无需企业另行单独制定。举例如，对于大型商业综合体而言，其可针对区域内餐饮、文创、服饰、数码电子、医疗美护等不同线下业态企业分类制定统一处理规则。

3. 网络平台上的小微商家：如电商、外卖、短视频平台商家等，此类商家主要依托第三方平台开展自身业务经营，通常商家于入驻时已签署平台统一商家管理规则（包括个人信息处理规则等）。符合《简化措施规定》第八条规定条件的，则可免于处理规则自行制定义务与告知义务。

4. 母婴类或面向未成年人的教培小微机构：此类机构在消费者报名时通常会登记消费者姓名、联系方式等，此时或将涉及不满十四周岁未成年人个人信息。根据《简化措施规定》第四条，机构需制定针对未成年人的专门处理规则（但并不因此免除根据其他法律规定同时制定一般处理规则的相关义务）。

结合我们的过往项目经验，在以上所述之外，还值得注意的是，虽然大型企业通常配置有成熟的法务团队和IT团队，其对数据治理的合规边界有着更精准的认知和更完善的响应体系；但中小微企业的困境往往并不在于明确“我处理的个人信息到底规模大不大”，而在于理解“原来我也是个人信息处理者、原来我这个也是个人信息处理活动”。

所以，犹如医生听诊讲究“望闻问切”，对于中小微企业而言，首要任务是先通体摸清自身的业务和管理模式。例如，常被企业忽略的内部管理场景（如与员工/劳务工/实习生签订用工文件、在OA系统建立人员信息档案库、登记外来访客信息等）也涉及到个人信息处理活动，也应相应计入处理规模。在正确找准自身“小型”抑或“一般”的角色定位后，再去匹配对应法律规则，能少走不少弯路。

四、给成长中企业的合规建议：既要顾好当下，也要未雨绸缪

许多中小微企业虽当下处理数据规模尚属“小型”，但业务量攀升快、增长势头猛，在数字经济日新月异的今天，很可能未来不久即突破10万大关进而演变为一般个人信息处理者，甚至进一步触及《网络安全法》《数据安全法》等规定项下更重的合规义务，为此除需严格遵守《简化措施规定》外，还有必要将部分工作合理做在前头。我们建议：

1．通过显著方式提示用户以有效履行处理规则告知义务，但仅限于非敏感个人信息。根据《简化措施规定》第六条，如系仅通过公告处理规则履行告知义务的（敏感个人信息不适用该简化措施），并非完成“张贴”或“公示”动作就能了事，而应通过加粗字体、放大字号、标记不同颜色等显著方式予以提示，且需便于获取、查阅、保存，旨在保障用户知情权，避免企业因操作不当而影响“告知”行为的效力；

2．善用平台资源。对于入驻园区、产业基地、商业物业且开展线下业务的企业，如无特别需求，可考虑适用其统一处理规则，以减少自身的时间和金钱成本。不过，《简化措施规定》第五条施加给服务管理单位的该义务是非强制的。若服务管理单位不予执行，或相关企业是在线上开展业务的，仍需要企业自行补位完成处理规则的制定和告知措施；

3．建立档案管理机制。根据《简化措施规定》第十三条、第十四条，企业应妥善保管个人信息保护合规审计自查表与个人信息保护影响评估表，可考虑将其纳入日常档案管理体系；

4．由于《简化措施规定》并未放松对敏感个人信息的监管要求，也未实质放宽个人信息跨境传输及未成年人个人信息保护的门槛，企业应当审慎应对，非出于业务开展必须时尽量避免涉及此等场景，减少不必要的合规负担；

5．建立信息处理规模动态监测台账，做好财务测算。企业平日应注意适当预留合规专项资金，在个人信息处理规模达10万门槛临界点前提前触发监测预警，以便及时采取个人信息保护负责人指定、专项内部管理制度及应急预案搭建、审计与影响评估互动开展等工作，避免越线后合规措施断档；

6．如企业在过程中因响应滞后等不慎触发对《简化措施规定》或《个保法》等的违反的，应积极配合监管部门及时整改，防止最终导致处罚结果升格。

五、结语