近日，《小型个人信息处理者个人信息保护简化措施规定》（以下简称《规定》）公布，作为落实《个人信息保护法》第六十二条授权制定小型个人信息处理者专门规则的关键配套规定。当前，大量中小微企业处理的个人信息远未达到海量级别，却面临着与大型平台几无差别的合规压力。《规定》直指这一矛盾，明确个人信息保护义务的履行方式并非固定不变，而应根据处理者规模、技术能力与风险水平等因素综合判断、动态匹配。这一思路有利于推动企业切实保障用户个人信息权益。

《规定》以处理不满10万人个人信息的小型个人信息处理者为适用对象，在告知同意、平台规则公示、个人信息保护影响评估及合规审计等关键环节简化相关义务的履行方式。例如，在告知同意与规则公示方面，处理非敏感个人信息为提供产品或者服务所必需，不对外提供公开并在个人信息处理规则中明示的，可仅通过公开个人信息处理规则履行告知义务。又如个人信息保护影响评估可使用简化评估表，合规审计至少每五年开展一次，并以简便自查表方式完成。这些简化绝非降低个人信息保护标准，其关键在于将具有相同或相似制度目标的义务进行合并，让小型个人信息处理者通过一次合规动作尽可能覆盖所有同类或相同业务合规要求，实现一次合规尽可能完成所有义务履行要求的效果。

《规定》的核心创新表现为设置符合中小微企业业务实践特征的实质合规体系。与聚焦于企业是否制定了隐私政策、开展了评估、实施了审计不同，《规定》更加侧重审视措施的实际效果。正是基于此理念，《规定》为小型个人信息处理者量身设定与自身能力相匹配的简便方式，避免其承担与业务规模、技术水平等客观条件不相称的过高合规成本，折射出宽严相济、安全与发展并重的治理智慧。具体而言，创新之处表现为三个方面。

第一，建构一体化制定的个人信息处理规则体系。在实践中，大量中小微企业集中于产业园区、商业综合体等区域，经营业态相似、信息处理场景趋同，但每家企业单独制定个人信息处理规则，既面临专业法律文本起草能力不足的现实困难，也容易因理解偏差导致规则质量参差不齐。针对这一产业特点，《规定》第五条支持园区、产业基地、商业物业等服务管理单位，为其服务管理范围内开展相同线下业务的小型个人信息处理者统一制定并在显著位置公开个人信息处理规则。同意遵守统一个人信息处理规则且在该规则中被列明的小型个人信息处理者，可以不再制定个人信息处理规则。以“一份规则管多家企业”的方式，极大缓解了中小微企业制定专门法律文本的能力不足，避免因为各类企业分别制定个人信息处理规则可能导致的权利告知方式不统一、个人信息保护水平参差不齐等问题。同时，借由服务管理单位的统筹能力，有效提升了个人信息处理规则的规范性和可执行性。

第二，明确个人信息跨境的豁免规则。数据出境安全评估、个人信息出境标准合同、个人信息保护认证等制度均是数据跨境传输安全监管领域的基础制度，部分小微企业在涉及少量个人信息出境时，如何高效合规成为棘手难题。为此，《规定》整合《网络数据安全管理条例》《促进和规范数据跨境流动规定》等要求，在第十条详细列明了包括为订立、履行个人作为一方当事人的合同，跨境人力资源管理，保护生命健康财产紧急情况，履行法定职责义务等六类情形，可免予申报数据出境安全评估、订立个人信息出境标准合同或通过个人信息保护认证。特别是该条最后一款鼓励履行个人信息保护职责的部门、数据跨境服务中心等，为小型个人信息处理者提供出境咨询等服务，以外部公共服务弥补其法律专业能力短板，降低了企业自行摸索的成本与风险，确保“豁免但不降低个人信息出境安全监管力度”和“简化数据出境流程但不降低个人信息安全保护效果”的双重治理目标。

第三，建构主管部门协助合规机制。小型个人信息处理者在停止产品或服务时，客观上可能面临服务器关闭、技术人员流失、资金链断裂等现实困境，确无能力完成个人信息删除义务。如若机械执行《个人信息保护法》中有关个人信息处理者的个人信息删除义务，企业本身并不具备相关技术能力，持续留存的个人信息还有可能增加个人信息泄露风险。因此，《规定》第十二条回应了小型个人信息处理者停止产品或者服务时确无能力删除个人信息的现实困境，允许其向所在地有关主管部门报告并请求提供帮助；主管部门不明确的，可以向所在地设区的市级网信部门报告。这一规定将单纯的法定义务转化为“企业请求+部门协助”的双向合作模式，用行政监管资源托底解决企业技术能力不足、合规能力不到位带来的数据残留风险，有力回应了公民对中小微企业个人信息保护能力的担忧与质疑。

《规定》实施后，将有利于广大中小微企业把有限资源集中投入到优化信息服务与保障用户权益上来，在安全底线不失的前提下切实提升服务质量与水平。这不仅是合规减负，更体现了我国个人信息保护治理是以实质保护效果为导向，为数字经济高质量发展提供了更为科学合理的制度保障。（作者：赵精武，北京航空航天大学法学院副教授、院长助理）