中国：网信办就大型个人信息处理者个人信息保护规定征求意见

2026年8月7日，国家互联网信息办公室（国家网信办）就《大型个人信息处理者个人信息保护规定（征求意见稿）》向社会公开征求意见，反馈截止时间为2026年9月7日。该草案将网信办此前已公开征求意见的两份文本，即《大型网络平台设立个人信息保护监督委员会规定（征求意见稿）》与《大型网络平台个人信息保护规定（征求意见稿）》，整合完善为一部部门规章，法律依据为《个人信息保护法》与《网络数据安全管理条例》。

整合本身才是真正的重点：首次将"大型个人信息处理者"这一类别（以1000万自然人为门槛）落地为统一的约束性制度，并新增一项经省级网信部门向国家网信部门申报的认定机制。中国最大的平台型企业以及任何处理超1000万中国用户数据的外国企业，现在有31天窗口期来影响、至少是准备应对一旦文本定稿即随之而来的义务。

草案下哪些主体构成大型个人信息处理者？

第二条通过三项综合认定的条件界定大型个人信息处理者：处理1000万人以上自然人的个人信息；提供涉及个人信息处理的重要网络服务，或者经营范围涵盖多种业务且涉及个人信息处理；个人信息处理活动对国家安全、经济运行、社会稳定、公共健康和安全等具有重要影响。1000万这一数字是硬性触发线，但认定取决于综合判断，而非仅凭人数。

这一点至关重要，因为该门槛刻意保持足够宽泛，以纳入中国互联网巨头（腾讯、阿里巴巴、字节跳动、百度、美团、京东、拼多多、快手）与大型数据处理者，同时给网信办留出将任何规模或跨业务触达引发系统性风险的经营者纳入的空间。在中国用户数突破1000万的外国服务并不豁免：草案的适用范围跟随数据，而非企业注册地。

大型处理者必须做什么，何时落地？

征求意见本身于2026年9月7日截止；申报国家网信部门认定、以及由原监督委员会草案并入而来的个人信息保护监督委员会义务，要到《规定》通过并施行后才产生约束力，而非以征求意见截止日为准。当前的实际期限是9月7日前将意见发送至[email protected]，或邮寄至国家网信办网络数据管理局。

对适用主体而言，战略期限更早：申报机制意味着网信办将编制并公布经认定的大型处理者清单，一旦进入清单，即触发《个人信息保护法》第五十八条项下的完整大型处理者义务栈。准备认定材料、梳理哪些业务线触发"多业务"条件、设立或重新校验监督委员会，是无法等到正式通过才能启动的工作。

申报与认定流程如何运作？

第三条设定了主动路径。处理1000万人以上自然人个人信息、并自评符合其他两项条件的处理者，应通过所在地省级网信部门向国家网信部门申报认定，并提交相关材料。省级网信部门应在15个工作日内完成完备性查验：材料齐全的，将申报材料和初步认定意见报送国家网信部门；不齐全的，一次性退回并告知需补充的材料。

认定并非完全自愿。省级以上网信部门、电信主管部门、公安机关研究认为处理者符合条件但未主动申报的，应当督促其申报。国家网信部门会同国务院电信、公安部门据此研究确定大型个人信息处理者清单，并向社会公告。

持续的、按司法辖区划分的实时监测，能在网信办发布的第一时间呈现这类整合动向，使适用主体在行业媒体跟进之前就看到门槛与申报窗口。

把这条实时监测收为己用

下一步该做什么

首先，确认在华处理规模是否突破1000万自然人门槛，并对照第二条三项条件记录自评估结论。其次，在2026年9月7日前通过[email protected]提交意见，就与本企业业务模式相关、表述模糊的条件重点反馈。再次，向个人信息保护监督委员会（或正在筹备该委员会的团队）通报整合后的义务集合，并预先为省级网信部门备齐认定材料。Obsidian将持续追踪本次征求意见至最终通过，确保认定期限不会悄然到来。