中国 パブコメ 国家サイバースペース管理局 小規模個人情報取扱者に対する個人情報保護簡素化措置規定（意見募集案） (2026.04.03)

こんにちは、丸山満彦です。

中国の国家サイバースペース管理局が「小規模個人情報取扱者に対する個人情報保護簡素化措置規定（意見募集案）」を公表し、意見募集をしていますね...

ポイントは...

小規個人情報取扱者（取り扱う個人データが10万人未満）に対する義務の低減ですかね...

主なポイント...

コンプライアンス監査：5年に1回以上実施。簡易な自己点検表の使用を認め、記録は5年以上保存。個人情報保護認証を取得した事業者は、認証有効期間中、監査が免除される。

影響評価：簡易様式での実施を認め、評価表は3年以上保存。実施頻度自体は規定で明記されていない（必要に応じて実施）。

内部管理体制の整備：組織管理文書の中で簡便に定めることができ、専任組織や複雑な手順書は不要

越境移転時の安全評価・標準契約・認証：以下の場合は全手続きが免除

• EC・決済・ホテル予約・ビザ申請などの契約履行に必要な越境提供

• 従業員の人事管理に必要な越境提供

• 生命・身体・財産保護の緊急時

• 年間累計10万人未満（センシティブ情報を除く）の越境提供

漏洩事故時の本人通知方法：貼り紙やアプリ内ポップアップなどの簡便な方法で通知できる

● 国家互联网信息办公室（国家サイバースペース管理局）

・2026.04.03 国家互联网信息办公室关于《小型个人信息处理者个人信息保护简化措施规定（征求意见稿）》公开征求意见的通知

国家互联网信息办公室关于《小型个人信息处理者个人信息保护简化措施规定（征求意见稿）》公开征求意见的通知	国家サイバースペース管理局による『小規模個人情報取扱者に対する個人情報保護簡素化措置規定（意見募集案）』に関する意見公募の通知
为支持中小微企业创新发展，简化小型个人信息处理者履行个人信息保护法律法规义务的措施，根据《中华人民共和国个人信息保护法》、《中华人民共和国民法典》、《网络数据安全管理条例》等法律、行政法规，国家互联网信息办公室起草了《小型个人信息处理者个人信息保护简化措施规定（征求意见稿）》，现向社会公开征求意见。公众可以通过以下途径和方式提出反馈意见：	中小・零細企業の革新的な発展を支援し、小規模個人情報取扱者が個人情報保護に関する法令上の義務を履行するための措置を簡素化するため、『中華人民共和国個人情報保護法』、『中華人民共和国民法典』、『ネットワークデータ安全管理条例』等の法律・行政法規に基づき、国家サイバースペース管理局は『小規模個人情報取扱者の個人情報保護簡素化措置規定（意見募集案）』を起草した。ここに社会に向けて意見を公募する。一般市民は以下の方法により意見を提出することができる：
1.登录中国网信网（www.cac.gov.cn），进入首页“网信要闻”查看文稿。	1. 中国網信網（www.cac.gov.cn）にアクセスし、トップページの「網信要聞」から草案を閲覧する。
2.通过电子邮件方式发送至：[mail] 。	2. 電子メールにて [mail] 宛てに送信する。
3.通过信函方式将意见寄至：北京市海淀区阜成路15号国家互联网信息办公室网络数据管理局，邮编100048，并在信封上注明“小型个人信息处理者个人信息保护简化措施规定征求意见”。	3. 書簡にて以下の宛先に送付する：北京市海淀区阜成路15号 国家サイバースペース管理局 ネットワークデータ管理局（郵便番号100048）。封筒には「小規模個人情報処理者における個人情報保護簡素化措置規定に関する意見募集」と明記すること。
意见反馈截止时间为2026年5月3日。	意見提出の締切は2026年5月3日である。
附件：小型个人信息处理者个人信息保护简化措施规定（征求意见稿）	添付資料：小規模個人情報処理者における個人情報保護簡素化措置規定（意見募集案）
国家互联网信息办公室	国家サイバースペース管理局
2026年4月3日	2026年4月3日
小型个人信息处理者个人信息保护简化措施规定	小規模個人情報取扱者の個人情報保護簡素化措置規定
（征求意见稿）	（意見募集案）
第一条 为支持中小微企业创新发展，简化小型个人信息处理者履行个人信息保护法律法规义务的措施，根据《中华人民共和国个人信息保护法》、《中华人民共和国民法典》、《网络数据安全管理条例》等法律、行政法规，制定本规定。	第一条 中小・零細企業の革新的な発展を支援し、小規模個人情報取扱者が個人情報保護に関する法律・法規上の義務を履行するための措置を簡素化するため、『中華人民共和国個人情報保護法』、『中華人民共和国民法典』、『ネットワークデータ安全管理条例』等の法律・行政法規に基づき、本規定を制定する。
第二条 在中华人民共和国境内的小型个人信息处理者实施个人信息保护，适用本规定。	第二条 中華人民共和国国内における小規模個人情報取扱者が個人情報保護を実施する場合、本規定を適用する。
本规定所称小型个人信息处理者，是指处理不满10万人个人信息的个人信息处理者。	本規定において「小規模個人情報取扱者」とは、10万人未満の個人情報を処理する個人情報取扱者を指す。
第三条 支持小型个人信息处理者在遵守个人信息保护相关法律、行政法规基础上，依据本规定采取与小型个人信息处理者规模、能力等相当的简化措施保障个人信息安全，保护个人信息权益。	第三条 小規模個人情報取扱者が、個人情報保護に関する法律・行政法規を遵守した上で、本規定に基づき、その規模や能力などに相応する簡素化措置を講じ、個人情報の安全を確保し、個人情報の権益を保護することを支援する。
第四条 小型个人信息处理者个人信息处理规则至少包括下列内容：	第四条　小規模個人情報取扱者の個人情報取扱規則には、少なくとも以下の内容を含めなければならない：
（一）小型个人信息处理者名称或者姓名；	（一）小規模個人情報取扱者の名称または氏名；
（二）个人行使权利的受理人员及其联系方式；	（二）個人が権利を行使する際の受付担当者およびその連絡先；
（三）个人信息的处理目的、处理方式，处理的个人信息种类、保存期限等。	（三）個人情報の取扱目的、取扱方法、取扱対象となる個人情報の種類、保存期間など。
小型个人信息处理者线下收集个人信息的，可以通过在经营场所醒目位置张贴公告等简便方式公开个人信息处理规则；线上收集个人信息的，可以通过服务协议等方式公开个人信息处理规则。	小規模個人情報取扱者がオフラインで個人情報を収集する場合、営業所の目立つ場所に公告を掲示するなどの簡便な方法で個人情報取扱規則を公開することができる； オンラインで個人情報を収集する場合は、サービス規約等の方法により個人情報処理規則を公開することができる。
第五条 支持园区、产业基地、商业物业等服务管理单位，为其服务管理范围内开展相同线下业务的小型个人信息处理者统一制定并公开个人信息处理规则，同意遵守统一个人信息处理规则且在该规则中被列明的小型个人信息处理者，可以不再制定个人信息处理规则。	第五条 工業団地、産業基地、商業施設等のサービス管理単位に対し、そのサービス管理範囲内で同様のオフライン業務を行う小規模個人情報処理者のために、個人情報処理規則を統一して策定・公開することを支援する。統一された個人情報処理規則の遵守に同意し、かつ当該規則に明記されている小規模個人情報処理者は、個人情報処理規則を改めて策定する必要はない。
第六条 小型个人信息处理者同时符合下列条件的，可以仅通过公开个人信息处理规则向个人履行告知义务，个人信息处理规则应当便于查阅和保存：	第六条 小規模個人情報取扱者が以下の条件をすべて満たす場合、個人情報処理規則の公開のみをもって個人に対する告知義務を履行することができる。個人情報処理規則は、閲覧および保存が容易なものでなければならない：
（一）处理个人信息（不含敏感个人信息）为提供产品或者服务所必需；	（一）個人情報の処理（機微な個人情報を除く）が、製品またはサービスの提供に不可欠であること；
（二）不向其他个人信息处理者提供且不对外公开个人信息，并在个人信息处理规则中明示。	（二）他の個人情報取扱者への提供および対外的な公開を行わず、かつ個人情報処理規則においてこれを明示していること。
第七条 个人因获取产品或者服务需要，主动向小型个人信息处理者提供获取产品或者服务所必需的个人信息，小型个人信息处理者已公开个人信息处理规则并履行告知义务的，即可按照公开的个人信息处理规则处理其个人信息。	第七条 個人が製品またはサービスの取得を必要とするため、自ら小規模個人情報取扱者に当該取得に不可欠な個人情報を提供し、かつ小規模個人情報取扱者が既に個人情報取扱規則を公開し告知義務を履行している場合、公開された個人情報取扱規則に従って当該個人情報を処理することができる。
第八条 同时符合下列条件的小型个人信息处理者可以不再制定个人信息处理规则、履行告知义务：	第八条 以下の条件をすべて満たす小規模個人情報取扱者は、個人情報取扱規則を策定し、告知義務を履行する必要はない。
（一）小型个人信息处理者仅通过网络平台处理个人信息，且不向网络平台外的其他个人信息处理者提供；	（一）小規模個人情報取扱者がネットワークプラットフォームを通じてのみ個人情報を処理し、かつネットワークプラットフォーム外の他の個人情報取扱者に提供しないこと；
（二）网络平台已制定发布个人信息处理规则，并履行了告知义务；	（二）ネットワークプラットフォームが既に個人情報取扱規則を策定・公表し、かつ告知義務を履行していること；
（三）小型个人信息处理者声明遵守网络平台制定的个人信息处理规则，且处理个人信息为提供产品或者服务所必需。	（三）小規模個人情報取扱者が、ネットワークプラットフォームが策定した個人情報取扱規則を遵守することを表明し、かつ個人情報の処理が製品またはサービスの提供に不可欠であること。
符合前款条件的，网络平台已开展个人信息保护合规审计、个人信息保护影响评估的，小型个人信息处理者可以不再重复开展。	前項の条件を満たし、かつ当該ネットワークプラットフォームが既に個人情報保護コンプライアンス監査および個人情報保護アセスメントを実施している場合、小規模個人情報取扱者はこれらを重複して実施する必要はない。
第九条 小型个人信息处理者因合并、分立、解散、被宣告破产等原因需要转移个人信息的，可以通过在经营场所醒目位置张贴公告等简便方式告知接收方的名称或者姓名以及联系方式；小型个人信息处理者提供线上产品服务的，还应当通过产品服务客户端弹窗公告等方式，告知接收方的名称或者姓名以及联系方式。	第九条 小規模個人情報取扱者が、合併、分立、解散、破産宣告等の理由により個人情報を移転する必要がある場合、営業所の目立つ場所に公告を掲示する等の簡便な方法により、受領者の名称または氏名および連絡先を告知することができる。小規模個人情報取扱者がオンライン製品・サービスを提供する場合、製品・サービスのクライアントアプリケーションにおけるポップアップ通知等の方法を通じて、受領者の名称または氏名および連絡先を通知しなければならない。
小型个人信息处理者应当至少提前30个工作日公开发布前款规定的告知事项，时长不少于30个工作日。	小規模個人情報取扱者は、前項に規定する通知事項を少なくとも30営業日前までに公表し、その公表期間は30営業日以上としなければならない。
第十条 小型个人信息处理者为特定目的处理敏感个人信息的，应当在个人信息处理规则中告知处理敏感个人信息的必要性以及对个人权益的影响。	第十条 小規模個人情報取扱者が特定の目的のためにセンシティブな個人情報を処理する場合、個人情報処理規則において、センシティブな個人情報を処理する必要性および個人の権利利益への影響を通知しなければならない。
个人在知情情况下主动配合提供人脸信息、生物样本等敏感个人信息的，小型个人信息处理者即可按照已告知的个人信息处理目的、方式、种类等处理其敏感个人信息。	個人が十分な情報を得た上で、自発的に顔情報、生体サンプル等のセンシティブな個人情報を提供する場合、小規模個人情報処理者は、既に告知した個人情報処理の目的、方法、種類等に従って、そのセンシティブな個人情報を処理することができる。
第十一条 小型个人信息处理者向境外提供个人信息，符合下列条件之一的，免予申报数据出境安全评估、订立个人信息标准合同、通过个人信息保护认证：	第十一条 小規模個人情報処理者が個人情報を国外に提供する場合、以下の条件のいずれかに該当するときは、データ越境セキュリティ評価の申告、個人情報標準契約の締結、個人情報保護認証の取得を免除される：
（一）为订立、履行个人作为一方当事人的合同，如跨境购物、跨境寄递、跨境汇款、跨境支付、跨境开户、机票酒店预订、签证办理、考试服务等，确需向境外提供个人信息的；	（一）個人を当事者の一方とする契約の締結・履行のため、例えば越境ショッピング、越境配送、越境送金、越境決済、越境口座開設、航空券・ホテルの予約、ビザ申請、試験サービス等において、海外への個人情報の提供が確実に必要とされる場合；
（二）按照依法制定的劳动规章制度和依法签订的集体合同实施跨境人力资源管理，确需向境外提供员工个人信息的；	（二）法に基づき制定された労働規程および法に基づき締結された団体協約に従い、越境人的資源管理を実施するため、従業員の個人情報の海外提供が確実に必要とされる場合；
（三）紧急情况下为保护自然人的生命健康和财产安全，确需向境外提供个人信息的；	（三）緊急事態において、自然人の生命・健康および財産の安全を保護するために、海外への個人情報の提供が真に必要とされる場合；
（四）为履行法定职责或者法定义务，确需向境外提供个人信息；	（四）法定的職責または法定義務を履行するために、海外への個人情報の提供が真に必要とされる場合；
（五）关键信息基础设施运营者以外的个人信息处理者自当年1月1日起累计向境外提供不满10万人个人信息（不含敏感个人信息）的；	（五）重要情報インフラの運営者以外の個人情報処理者が、当該年の1月1日以降、累計で10万人未満の個人情報（機微な個人情報を除く）を海外に提供する場合；
（六）法律、行政法规或者国家网信部门规定的其他条件。	（六）法律、行政法規、または国家インターネット情報部門が定めるその他の条件。
前款所称向境外提供的个人信息，不包括重要数据。	前項にいう国外への個人情報の提供には、重要データは含まれない。
小型个人信息处理者确需向中华人民共和国境外提供个人信息，依法依规向网信部门申请数据出境安全评估的，可以由所在地省级网信部门评估形成评估结论建议报国家网信部门核准。	小規模個人情報処理者が、中華人民共和国国外への個人情報の提供を真に必要とし、法令に基づきサイバー情報部門にデータ越境セキュリティ評価を申請する場合、所在地を管轄する省級サイバー情報部門がアセスメントを行い、アセスメント結論を策定して国家サイバー情報部門に報告し、承認を求めることができる。
鼓励履行个人信息保护职责的部门、数据跨境服务中心等，为小型个人信息处理者个人信息出境提供咨询等服务。	個人情報保護の職責を履行する部門、データ越境サービスセンター等は、小規模個人情報処理者の個人情報越境について、相談等のサービスを提供することが推奨される。
第十二条 小型个人信息处理者可以通过公开个人行使权利的受理人员及其联系方式，建立个人行使在个人信息处理活动中权利的申请受理和处置机制。	第十二条　小規模個人情報処理者は、個人の権利行使の受付担当者及びその連絡先を公表することにより、個人情報処理活動における個人の権利行使に関する申請の受付及び処理の仕組みを構築することができる。
第十三条 停止产品或者服务的小型个人信息处理者，确无能力删除个人信息的，可以向所在地有关主管部门报告并请求提供帮助；主管部门不明确的，可以向所在地设区的市级网信部门报告。	第十三条　製品又はサービスの提供を停止する小規模個人情報処理者であって、個人情報の削除が確実に不可能な場合は、所在地の関係主管部門に報告し、支援を要請することができる。主管部門が不明確な場合は、所在地の設区級市のサイバーセキュリティ・情報化部門に報告することができる。
第十四条 小型个人信息处理者可以按照本规定附件《小型个人信息处理者个人信息保护合规审计自查表》的简便方式，至少每五年开展一次个人信息保护合规审计，并保存合规审计自查表至少五年。	第十四条 小規模個人情報取扱者は、本規定の別紙『小規模個人情報取扱者の個人情報保護コンプライアンス監査自己点検表』に定める簡易な方法に基づき、少なくとも5年に1回、個人情報保護コンプライアンス監査を実施し、当該自己点検表を少なくとも5年間保存しなければならない。
第十五条 小型个人信息处理者可以按照本规定附件《小型个人信息处理者个人信息保护影响评估表》的简便方式开展个人信息保护影响评估，并保存影响评估表至少三年。	第十五条 小規模個人情報取扱者は、本規定の別紙『小規模個人情報取扱者個人情報保護アセスメント表』の簡易な方法に従い、個人情報保護アセスメントを実施し、アセスメント表を少なくとも3年間保存しなければならない。
第十六条 小型个人信息处理者可以通过在组织管理文件中明确个人信息保护内部管理要求、个人信息安全事件应急处置要求等简便方式，建立个人信息保护管理制度、个人信息安全事件应急预案。	第十六条 小規模個人情報取扱者は、組織管理文書において個人情報保護の内部管理要件、個人情報セキュリティインシデントの緊急対応要件等を明確にするなどの簡易な方法により、個人情報保護管理制度および個人情報セキュリティインシデント緊急対応計画を策定することができる。
第十七条 发生或者可能发生个人信息泄露、篡改、丢失的，小型个人信息处理者应当立即采取补救措施，按照法律、行政法规规定通知个人，确因客观条件限制无法通过其他方式通知个人的，可以仅通过在经营场所醒目位置张贴公告、在产品服务客户端中弹窗公告等简便方式通知个人，并按照规定通知履行个人信息保护职责的部门；涉嫌犯罪的，应当及时向公安机关报案。	第十七条 個人情報の漏洩、改ざん、紛失が発生した、または発生するおそれがある場合、小規模個人情報取扱者は直ちに是正措置を講じ、法律・行政法規の規定に基づき個人に通知しなければならない。客観的な条件の制約により他の方法での通知が不可能な場合は、営業所の目立つ場所に公告を掲示する、製品・サービスのクライアント上でポップアップ通知を表示するなどの簡便な方法により個人に通知し、規定に従い個人情報保護の職責を履行する部門に通知することができる。犯罪の疑いがある場合は、速やかに公安機関に通報しなければならない。
第十八条 支持个人信息保护认证机构针对小型个人信息处理者开展认证工作，提高服务质量。	第十八条 個人情報保護認証機関が小規模個人情報取扱者に対して認証業務を行い、サービスの質を向上させることを支援する。
通过个人信息保护认证的小型个人信息处理者，在认证有效期内可以免予开展个人信息保护合规审计。	個人情報保護認証を取得した小規模個人情報取扱者は、認証の有効期間内において、個人情報保護コンプライアンス監査の実施を免除される。
第十九条 小型个人信息处理者开展个人信息处理活动有下列情形之一的，不予处罚：	第十九条 小規模個人情報取扱者が個人情報処理活動を行うにあたり、次のいずれかの状況に該当する場合、処罰しない：
（一）违法行为轻微并及时改正，没有造成危害后果的；	（一）違法行為が軽微であり、速やかに是正され、危害の結果をもたらしていない場合；
（二）初次违法且危害后果轻微并及时改正的；	（二）初めての違法行為であり、かつ危害の結果が軽微で、速やかに是正された場合；
（三）其他依法不予处罚的情形。	（三）その他、法に基づき処罰しない状況。
不予处罚的，履行个人信息保护职责的部门应当视情采取约谈、发送提示函等行政监管措施。	処罰しない場合、個人情報保護の職責を担う部門は、状況に応じて面談、注意喚起書の送付等の行政監督措置を講じなければならない。
第二十条 小型个人信息处理者开展个人信息处理活动有下列情形之一的，应当从轻或者减轻处罚：	第二十条 小規模個人情報取扱者が個人情報処理活動を行うにあたり、次のいずれかの状況に該当する場合、処罰を軽減または免除するものとする：
（一）主动消除或者减轻违法行为危害后果的；	（一）違法行為による危害の結果を自発的に排除または軽減した場合；
（二）主动供述履行个人信息保护职责的部门尚未掌握的违法行为的；	（二）個人情報保護の職責を履行する部門がまだ把握していない違法行為を自発的に供述した場合；
（三）发生个人信息安全事件时，及时告知个人和采取补救措施，并主动向有关部门报告的；	（三）個人情報セキュリティインシデントが発生した際、速やかに個人に通知し是正措置を講じ、かつ自発的に関係部門に報告した場合；
（四）配合履行个人信息保护职责的部门查处违法行为有立功表现的；	（四）個人情報保護の職責を履行する部門による違法行為の調査・処分に協力し、功績があった場合；
（五）其他依法从轻或者减轻处罚的情形。	（五）その他、法に基づき処罰を軽減すべき事情がある場合。
第二十一条 支持各地区、各部门通过组织培训、讲座、普法活动、咨询辅导等方式，帮助小型个人信息处理者提升个人信息保护能力水平。	第二十一条 各地域、各部門が、研修、講座、法普及活動、相談指導などの方法を通じて、小規模個人情報取扱者の個人情報保護能力の向上を支援することを奨励する。
鼓励各地区、各部门为小型个人信息处理者提供安全便捷个人信息处理的基础设施、技术工具、咨询服务等，降低小型个人信息处理者合规成本。	各地域、各部門に対し、小規模な個人情報取扱者に対し、安全かつ利便性の高い個人情報処理のためのインフラ、技術ツール、相談サービス等を提供し、小規模な個人情報取扱者のコンプライアンスコストを低減するよう奨励する。
第二十二条 本规定自 年 月 日起施行。	第二十二条 本規定は、年 月 日から施行する。
附件：	別紙：
1.小型个人信息处理者个人信息保护合规审计自查表	1.小規模な個人情報取扱者の個人情報保護コンプライアンス監査自己点検表
2.小型个人信息处理者个人信息保护影响评估表	2.小規模な個人情報取扱者の個人情報保護影響評価表