大型个人信息处理者收集个人信息应当坚持最小必要原则

为规范大型个人信息处理者个人信息处理活动，保护个人信息合法权益，促进个人信息依法合理利用，根据《中华人民共和国个人信息保护法》《网络数据安全管理条例》等法律、行政法规，国家网信部门将前期已公开征求意见的《大型网络平台设立个人信息保护监督委员会规定（征求意见稿）》《大型网络平台个人信息保护规定（征求意见稿）》作了整合完善，形成《大型个人信息处理者个人信息保护规定（征求意见稿）》，现向社会公开征求意见。

意见反馈截止时间为2026年9月7日。

什么是大型个人信息处理者？

对大型个人信息处理者的认定，应当综合考虑下列条件：

（一）处理1000万人以上自然人个人信息；

（二）提供涉及个人信息处理的重要网络服务，或者经营范围涵盖多种业务且涉及个人信息处理；

（三）个人信息处理活动对国家安全、经济运行、社会稳定、公共健康和安全等具有重要影响。

国家网信部门会同国务院电信主管部门、公安部门等履行个人信息保护职责的部门依据认定条件，研究确定大型个人信息处理者清单，并向社会公告。

大型个人信息处理者应保障所处理个人信息安全

大型个人信息处理者应当采取加密、去标识化、访问控制、匿名化等措施保障所处理个人信息安全，可以应用国家网络身份认证公共服务，鼓励使用数据标签标识技术、通过个人信息保护认证等，提高个人信息保护水平。

鼓励大型个人信息处理者开展个人信息保护相关技术、产品、服务创新，积极参与个人信息保护相关国际标准和规则制定，推动与其他国家、地区之间的个人信息保护规则、标准协调互认。

境外的组织、个人从事侵害中华人民共和国公民的个人信息权益，或者危害中华人民共和国国家安全、公共利益的个人信息处理活动的，国家网信部门可以将其列入限制或者禁止个人信息提供清单，予以公告，并采取限制或者禁止向其提供个人信息等措施。

基于个人同意处理个人信息的

应提供便捷的撤回同意方式

大型个人信息处理者处理个人信息，应当遵循合法、正当、必要和诚信原则，遵守法律、行政法规，尊重社会公德和伦理；收集个人信息，应当坚持最小必要原则，限于提供产品或者服务所必需，不得过度收集个人信息。

大型个人信息处理者处理不满十四周岁未成年人个人信息的，应当取得未成年人的父母或者其他监护人的同意；大型个人信息处理者应当为监护人同意和撤回同意处理不满十四周岁未成年人个人信息提供便捷渠道。

大型个人信息处理者基于个人同意处理个人信息的，应当提供便捷的撤回同意的方式，以结构化清单形式列明个人已同意大型个人信息处理者处理的个人信息种类，以及个人信息的处理目的、处理方式，便于个人选择。

进行信息推送、商业营销的

应设便于操作的推荐关闭选项

大型个人信息处理者通过自动化决策方式向个人进行信息推送、商业营销的，应当采取下列措施保护个人权益：

（一）设置易于理解、便于访问和操作的个性化推荐关闭选项；

（二）用户选择关闭个性化推荐的，大型个人信息处理者应当停止将相关个人信息用于个性化推荐目的；

（三）为用户提供删除针对其个人特征的用户标签等功能；

（四）法律、行政法规、国家有关部门规定的其他措施。

至少每两年报送个人信息保护合规审计报告

大型个人信息处理者应当于每年第一季度通过所在地省级网信部门向国家网信部门报送监督委员会上一年度履职情况；至少每两年通过所在地省级网信部门向国家网信部门报送个人信息保护合规审计报告。

网信部门、电信主管部门、公安机关等履行个人信息保护职责的部门，发现大型个人信息处理者个人信息处理活动违反有关法律、行政法规，报送的监督委员会履职情况、个人信息保护合规审计情况和个人信息保护影响评估情况存在违反法律、行政法规、部门规章和本规定情形的，可以依法开展现场检查、约谈、要求整改、督促解散监督委员会等处置措施。

大型个人信息处理者未按要求整改或者未达到整改要求的，国家网信部门和国务院电信主管部门、公安、安全等部门，可以要求大型个人信息处理者采取向第三方数据中心托管个人信息等措施保障个人信息安全。 据央视