2026年8月7日，国家网信办就《大型个人信息处理者个人信息保护规定（征求意见稿）》公开征求意见

国家互联网信息办公室就《大型个人信息处理者个人信息保护规定（征求意见稿）》公开征求意见。该规定依据《中华人民共和国个人信息保护法》《网络数据安全管理条例》等法律、行政法规制定，旨在规范大型个人信息处理者的个人信息处理活动，保护个人信息合法权益，促进个人信息依法合理利用。国家网信部门将前期已公开征求意见的《大型网络平台设立个人信息保护监督委员会规定（征求意见稿）》和《大型网络平台个人信息保护规定（征求意见稿）》整合完善后，形成本次征求意见稿。公众可通过电子邮件或信函方式反馈意见，截止时间为2026年9月7日。

征求意见稿明确大型个人信息处理者的认定条件，包括处理1000万人以上自然人个人信息，提供涉及个人信息处理的重要网络服务，或者其个人信息处理活动对国家安全、经济运行、社会稳定、公共健康和安全等具有重要影响。符合条件的主体应通过所在地省级网信部门向国家网信部门申报认定，省级网信部门在15个工作日内完成完备性查验。国家网信部门会同国务院电信主管部门、公安部门等研究确定大型个人信息处理者清单并向社会公告。被认定主体若连续6个月不再符合条件，可申请变更认定。

在个人信息保护措施方面，征求意见稿要求大型个人信息处理者采取加密、去标识化、访问控制、匿名化等措施保障所处理个人信息安全，可应用国家网络身份认证公共服务，并鼓励使用数据标签标识技术、通过个人信息保护认证等提高保护水平。同时鼓励相关技术、产品和服务创新，参与国际标准和规则制定，推动与其他国家和地区的规则协调互认。对于境外的组织或个人从事侵害中国公民个人信息权益或危害国家安全、公共利益的处理活动，国家网信部门可将其列入限制或禁止提供个人信息清单，并采取相应措施。

征求意见稿对个人信息处理规则作出具体规定，包括收集个人信息应遵循最小必要原则，不得过度收集；处理敏感个人信息、向他人提供或公开个人信息、向境外提供个人信息等情形需取得个人单独同意；处理不满十四周岁未成年人个人信息须取得监护人同意，并提供便捷撤回同意渠道。处理目的、方式或种类发生变更时应重新取得同意。大型个人信息处理者应将境内运营中收集和产生的个人信息存储在境内，并选择符合条件的数据中心，包括设立于境内、管理机构法定代表人具有中国国籍等要求。数据中心管理机构需建立内部管理制度和应急预案，发现安全缺陷或发生安全事件时及时补救并报告。

对个人信息进行汇聚或融合处理时，若处理后的信息符合敏感个人信息认定标准，应按敏感个人信息进行识别与保护。