大型个人信息处理者

八、出现外部成员辞职或者被解聘等情形，导致监督委员会成员人数不符合工作规则要求或者外部成员占比低于三分之二的，大型个人信息处理者应当在30个工作日内补任新的外部成员。

内部成员因离职、调岗等原因，不适宜继续担任内部成员的，大型个人信息处理者应当在30个工作日内补任新的内部成员。

前款所列履行职责方式都不能正常使用的，大型个人信息处理者应当告知具体情况和理由。

被解聘的外部成员认为解聘理由不当的，可以提出异议，大型个人信息处理者应当及时答复。

个人请求删除个人信息的，大型个人信息处理者应当及时删除；

大型个人信息处理者应当为个人信息保护负责人履行职责提供必要支持。

大型个人信息处理者应当为个人拒绝处理其已公开个人信息提供便捷途径。

大型个人信息处理者应当为监护人同意和撤回同意处理不满十四周岁未成年人个人信息提供便捷渠道。

大型个人信息处理者应当对境外接收方的管理和技术措施进行评估，发现境外接收方无法履行法律、行政法规、部门规章或者相关合同约定的个人信息保护义务和责任的，应当暂停向其提供个人信息。

大型个人信息处理者应当采取身份验证、加密传输等安全措施保障个人信息转移安全。

有下列情形之一的，大型个人信息处理者应当主动删除个人信息：

法律、行政法规规定的保存期限未届满，或者删除个人信息从技术上难以实现的，大型个人信息处理者应当停止除存储和采取必要的安全保护措施之外的处理。

第三十条大型个人信息处理者应当每年编制并于上半年发布上一年度个人信息保护社会责任报告。

第二十七条大型个人信息处理者应当明确业务部门具备个人信息保护合规审计能力的人员负责个人信息保护工作，人员数量应当与业务部门的业务规模、履行的个人信息保护义务相适应，在个人信息保护负责人指导下，负责所在部门个人信息处理活动安全管理，明确所在部门个人信息处理规范，确保履行个人信息保护义务。

第二十九条提供网络平台服务的大型个人信息处理者应当明确平台内产品或者服务提供者处理个人信息的规范、权限和保护个人信息的义务，督促其建立健全个人信息保护内部管理制度和操作规程，依法开展个人信息处理活动，履行个人信息保护义务。

第二十五条大型个人信息处理者应当按照法律、行政法规的规定指定一名管理层成员担任个人信息保护负责人，并公开个人信息保护负责人的联系方式。

第二十八条大型个人信息处理者应当以实现业务功能所需的最小授权为原则，为工作人员配置个人信息处理的操作权限。

第二十四条大型个人信息处理者应当围绕个人信息处理活动、个人行使权利响应、安全义务履行等环节，建立健全内部管理制度和操作规程，加强个人信息安全监测预警，及时发现处置个人信息安全问题和事件，防范安全风险。

第五条大型个人信息处理者应当采取加密、去标识化、访问控制、匿名化等措施保障所处理个人信息安全，可以应用国家网络身份认证公共服务，鼓励使用数据标签标识技术、通过个人信息保护认证等，提高个人信息保护水平。

第十三条大型个人信息处理者应当将在中华人民共和国境内运营中收集和产生的个人信息存储在境内。

第十九条对符合《网络数据安全管理条例》第二十五条规定条件的个人信息转移请求，大型个人信息处理者应当自完成个人身份验证和请求验证后30个工作日内采取通用或者机器可读的格式转移个人信息，并以邮件、电话、短信等方式告知个人处理结果；

第十四条大型个人信息处理者应当选择符合下列条件的数据中心，存储在中华人民共和国境内运营中收集和产生的个人信息：

（二）用户选择关闭个性化推荐的，大型个人信息处理者应当停止将相关个人信息用于个性化推荐目的；

个人信息保护负责人、数据中心等基本信息发生变化的，大型个人信息处理者应当自变化之日起30个工作日内报送变更信息。

大型个人信息处理者应当为监督委员会履行职责提供必要支持。

第三十七条大型个人信息处理者应当自被认定之日起6个月内成立主要由外部成员组成的个人信息保护监督委员会（以下简称监督委员会）对个人信息保护情况进行监督，按照本规定附件要求制定监督委员会工作规则，并通过所在地省级网信部门向国家网信部门报送监督委员会成立情况、工作规则、成员名单等基本信息。

第三十五条大型个人信息处理者应当建立便捷的个人信息投诉、举报渠道，在个人信息处理规则中提供有效的、易于访问的投诉举报渠道，健全投诉举报的受理、处置、反馈机制，在承诺时限内（承诺时限不得超过15个工作日，无承诺时限的，以15个工作日为限）受理并处置个人信息相关投诉举报。

第三十六条大型个人信息处理者应当自被认定之日起30个工作日内向所在地设区的市级网信部门报送下列信息：

大型个人信息处理者应当落实数据分类分级保护、网络安全等级保护、商用密码保护有关要求。

第四十三条大型个人信息处理者应当于每年第一季度通过所在地省级网信部门向国家网信部门报送监督委员会上一年度履职情况；

第四十二条国家网信部门等履行个人信息保护职责的部门依法对大型个人信息处理者设立、运行监督委员会的活动进行监督管理，可以要求大型个人信息处理者对设立、运行监督委员会有关事项作出解释说明或者提供相关资料，大型个人信息处理者应当予以配合。

第四十条大型个人信息处理者应当通过监督委员会工作规则明确外部成员津贴，津贴标准由大型个人信息处理者董事会等决策机构或者其授权机构批准。

大型个人信息处理者应当指定专人负责未成年人个人信息保护工作。

第三十三条大型个人信息处理者应当每两年至少开展一次个人信息保护合规审计，每年对其个人信息处理活动开展风险评估，并对发现的问题进行整改。

第三十二条大型个人信息处理者应当严格保护未成年人个人信息，通过国家网络身份认证公共服务等方式识别未成年人，并依照《未成年人网络保护条例》规定，每年开展未成年人个人信息保护合规审计。

大型个人信息处理者应当以实现业务功能所需的最小授权为原则，为工作人员配置个人信息处理的操作权限。

大型个人信息处理者应当围绕个人信息处理活动、个人行使权利响应、安全义务履行等环节，建立健全内部管理制度和操作规程，加强个人信息安全监测预警，及时发现处置个人信息安全问题和事件，防范安全风险。

大型个人信息处理者应当将在中华人民共和国境内运营中收集和产生的个人信息存储在境内。

大型个人信息处理者应当按照法律、行政法规的规定指定一名管理层成员担任个人信息保护负责人，并公开个人信息保护负责人的联系方式。

大型个人信息处理者应当明确业务部门具备个人信息保护合规审计能力的人员负责个人信息保护工作，人员数量应当与业务部门的业务规模、履行的个人信息保护义务相适应，在个人信息保护负责人指导下，负责所在部门个人信息处理活动安全管理，明确所在部门个人信息处理规范，确保履行个人信息保护义务。

大型个人信息处理者应当每年编制并于上半年发布上一年度个人信息保护社会责任报告。

大型个人信息处理者应当选择符合下列条件的数据中心，存储在中华人民共和国境内运营中收集和产生的个人信息：

大型个人信息处理者应当采取加密、去标识化、访问控制、匿名化等措施保障所处理个人信息安全，可以应用国家网络身份认证公共服务，鼓励使用数据标签标识技术、通过个人信息保护认证等，提高个人信息保护水平。

对符合《网络数据安全管理条例》第二十五条规定条件的个人信息转移请求，大型个人信息处理者应当自完成个人身份验证和请求验证后30个工作日内采取通用或者机器可读的格式转移个人信息，并以邮件、电话、短信等方式告知个人处理结果；

提供网络平台服务的大型个人信息处理者应当明确平台内产品或者服务提供者处理个人信息的规范、权限和保护个人信息的义务，督促其建立健全个人信息保护内部管理制度和操作规程，依法开展个人信息处理活动，履行个人信息保护义务。

大型个人信息处理者应当建立便捷的个人信息投诉、举报渠道，在个人信息处理规则中提供有效的、易于访问的投诉举报渠道，健全投诉举报的受理、处置、反馈机制，在承诺时限内（承诺时限不得超过15个工作日，无承诺时限的，以15个工作日为限）受理并处置个人信息相关投诉举报。

大型个人信息处理者应当自被认定之日起30个工作日内向所在地设区的市级网信部门报送下列信息：

大型个人信息处理者应当自被认定之日起6个月内成立主要由外部成员组成的个人信息保护监督委员会（以下简称监督委员会）对个人信息保护情况进行监督，按照本规定附件要求制定监督委员会工作规则，并通过所在地省级网信部门向国家网信部门报送监督委员会成立情况、工作规则、成员名单等基本信息。

国家网信部门等履行个人信息保护职责的部门依法对大型个人信息处理者设立、运行监督委员会的活动进行监督管理，可以要求大型个人信息处理者对设立、运行监督委员会有关事项作出解释说明或者提供相关资料，大型个人信息处理者应当予以配合。

大型个人信息处理者应当于每年第一季度通过所在地省级网信部门向国家网信部门报送监督委员会上一年度履职情况；

大型个人信息处理者应当通过监督委员会工作规则明确外部成员津贴，津贴标准由大型个人信息处理者董事会等决策机构或者其授权机构批准。

大型个人信息处理者应当严格保护未成年人个人信息，通过国家网络身份认证公共服务等方式识别未成年人，并依照《未成年人网络保护条例》规定，每年开展未成年人个人信息保护合规审计。

《大型个人信息处理者个人信息保护规定（征求意见稿）》公开征求意见2026年08月07日16:04新京报网新京报讯据网信中国消息，为规范大型个人信息处理者个人信息处理活动，保护个人信息合法权益，促进个人信息依法合理利用，根据《中华人民共和国个人信息保护法》、《网络数据安全管理条例》等法律、行政法规，国家网信部门将前期已公开征求意见的《大型网络平台设立个人信息保护监督委员会规定（征求意见稿）》、《大型网络平台个人信息保护规定（征求意见稿）》作了整合完善，形成《大型个人信息处理者个人信息保护

九、监督委员会应当依照《大型个人信息处理者个人信息保护规定》第四十一条规定要求对大型个人信息处理者进行监督，履行监督职责。

十一、监督委员会至少每6个月召开一次定期会议，听取大型个人信息处理者个人信息保护负责人工作报告，审议大型个人信息处理者或者监督委员会提出的相关事项。

（四）列席受邀参加的大型个人信息处理者个人信息保护工作有关会议；

国务院电信主管部门、公安部门等履行个人信息保护职责的部门，依照本规定和有关法律、行政法规的规定，在各自职责范围内负责大型个人信息处理者的个人信息保护和监督管理工作。

地方电信主管部门、公安机关等有关部门依据各自职责负责本行政区域内的大型个人信息处理者的个人信息保护和监督管理工作。

地方网信部门负责统筹协调本行政区域内的大型个人信息处理者的个人信息保护工作和相关监督管理工作。

大型个人信息处理者个人信息保护规定

第二条大型个人信息处理者的个人信息保护及其监督管理，适用本规定。

第四条国家网信部门负责统筹协调大型个人信息处理者的个人信息保护工作和相关监督管理工作。

通过信函方式将意见寄至：北京市海淀区阜成路15号国家互联网信息办公室网络数据管理局，邮编：100048，并在信封上注明“大型个人信息处理者个人信息保护规定征求意见”字样。

（六）定期向个人信息保护监督委员会报告大型个人信息处理者个人信息保护有关工作。

一、监督委员会对大型个人信息处理者个人信息保护情况进行监督，遵循独立公正、专业审慎的原则，遵守法律、行政法规、国家网信部门等履行个人信息保护职责的部门规定和工作规则，勤勉履职尽责。

为规范个人信息保护监督委员会运行管理，保障个人信息保护监督委员会高效履职，提升大型个人信息处理者个人信息保护合规水平，根据《中华人民共和国个人信息保护法》、《大型个人信息处理者个人信息保护规定》等法律、行政法规、部门规章的规定，制定本指引。

大型个人信息处理者董事会等决策机构或者其授权机构提名和聘任外部成员时，应当充分了解被提名人情况，并确保符合《大型个人信息处理者个人信息保护规定》第三十八条、第三十九条规定。

（一）不再符合《大型个人信息处理者个人信息保护规定》第三十八条、第三十九条规定，且未提出辞职；

国家互联网信息办公室关于《大型个人信息处理者个人信息保护规定（征求意见稿）》公开征求意见的通知2026年08月07日17:25网信上海为规范大型个人信息处理者个人信息处理活动，保护个人信息合法权益，促进个人信息依法合理利用，根据《中华人民共和国个人信息保护法》、《网络数据安全管理条例》等法律、行政法规，国家网信部门将前期已公开征求意见的《大型网络平台设立个人信息保护监督委员会规定（征求意见稿）》、《大型网络平台个人信息保护规定（征求意见稿）》作了整合完善，形成《大型个人信息处理者个人

国家网信部门负责统筹协调大型个人信息处理者的个人信息保护工作和相关监督管理工作。

大型个人信息处理者的个人信息保护及其监督管理，适用本规定。