22 июля 2026 года Администрация киберпространства Китая (CAC) и Министерство общественной безопасности подписали приказ № 25 - Положения об упрощённых мерах защиты персональных данных для малых обработчиков. Документ принят на заседании CAC 26 июня, опубликован на сайте ведомства 24 июля и вступил в силу 1 сентября 2026 года.
Малым считается обработчик, который обрабатывает данные менее 100 тыс. человек. Цель - поддержать малый и средний бизнес, снизив его затраты на комплаенс.
Правила обработки такой компании должны содержать только название обработчика, контакты ответственного за обращения субъектов, цели и способы обработки, категории данных и сроки хранения. Офлайн их можно вывесить на видном месте, онлайн разместить в соглашении, всплывающем окне или на сайте. Если нужные для товара или услуги данные (не чувствительные) не передаются другим обработчикам и не раскрываются, а это прямо указано в правилах, уведомление можно ограничить их публикацией. Для чувствительных данных по-прежнему требуются разъяснение необходимости и влияния на права человека и отдельное согласие. Работающие только через интернет-платформу могут не разрабатывать собственные правила, если платформа опубликовала свои и разграничила права и обязанности. Управляющие парками, индустриальными базами и коммерческой недвижимостью могут составить единые правила для арендаторов с одинаковым офлайн-бизнесом. Для данных детей до 14 лет нужны отдельные правила.
Облегчены и внутренние процедуры. Аудит проводится самопроверкой по форме из приложения не реже раза в пять лет, оценка воздействия заполняется по стандартной форме и хранится не менее трёх лет. Сертификация по защите ПДн освобождает от аудита на срок её действия. При утечке нужно сразу принять меры и уведомить людей: если иначе нельзя, достаточно объявления в помещении, всплывающего окна или публикации на сайте, а контролирующий орган уведомляется в любом случае.
При трансграничной передаче малые обработчики освобождены от оценки безопасности, стандартного договора и сертификации в перечисленных случаях, но уведомление и отдельное согласие сохраняются. Это, например, исполнение договора, трудовые отношения, чрезвычайные ситуации, а также вывоз данных менее 100 тыс. человек без чувствительных данных с начала года.
Если оценка безопасности нужна, заключение готовит провинциальное отделение CAC, а утверждает национальный орган.
Санкции не применяются при незначительном, быстро исправленном нарушении без вредных последствий или при отсутствии вины. При первом нарушении с лёгкими последствиями их могут не применять. Наказание смягчается, если обработчик сам устранил вред, сообщил о нарушении, оперативно уведомил пострадавших и орган о произошедшем инциденте либо помог расследованию
