处理了 1000 万人个人信息，就自动成为“大型个人信息处理者”吗？（征求意见稿阶段）

如果一个平台或大型业务系统处理的个人信息人数接近或超过 1000 万，合规负责人往往会问：是不是从这一刻起，就自动成为“大型个人信息处理者”？

先给结论：不是。当前能依据的文本是《大型个人信息处理者个人信息保护规定（征求意见稿）》，1000 万人不能单独推出“当然认定”。它只是启动核对的数量信号；还要看业务或服务属性，以及个人信息处理活动的公共影响。更重要的是，这仍是征求意见稿阶段，不能写成现行强制规则。

先看人数：它是条件之一，不是全部结论

征求意见稿将“处理 1000 万人以上自然人个人信息”列入认定条件。这里要区分：把人数纳入自评，和仅凭人数宣布已经完成认定。前者有文本依据，后者超出目前材料支持的范围。

企业不宜只拿用户数量记录，就写成“已属于大型个人信息处理者”。应记录人数口径、统计结果和核对时间，把人数作为第一项材料，再看另外两组条件。达到 1000 万人，意味着应启动核对，不意味着其他判断可以省略。

再看业务：处理规模相同，业务属性仍可能改变判断

第二组要核对的是业务或服务属性。征求意见稿要求综合考虑：是否提供涉及个人信息处理的重要网络服务，或者经营范围是否涵盖多种业务且涉及个人信息处理。

企业自评不能只做“人数对比题”，还要列明实际网络服务、经营范围及其中涉及个人信息处理的部分。现有材料只支持把这些作为综合因素，不能进一步判断某项服务是否属于“重要网络服务”，也不能认定具体企业的最终身份。材料不足时，结论应停在“需要继续核对”。

最后看影响：问题从“有多少人”转向“影响什么”

第三组是公共影响。征求意见稿列出的考量方向包括个人信息处理活动对国家安全、经济运行、社会稳定、公共健康和安全等是否具有重要影响。

这一步不能被人数统计替代。企业应记录处理活动与这些影响维度的对应关系，说明核对依据和不确定处。判断链条应是“人数—业务或服务—公共影响”，而不是把 1000 万人变成脱离场景的自动开关。本文不判断具体企业是否已满足影响条件。

自评、申报、认定：三个层次要分开

对接近或超过 1000 万人的处理者，建议先完成三项自评，再判断是否需要申报，并把申报与是否已经认定分开表达。征求意见稿第三条写的是，处理 1000 万人以上个人信息且自评符合其他条件的处理者，应通过所在地省级网信部门向国家网信部门申报认定；省级网信部门自收到材料之日起 15 个工作日内完成完备性查验。

边界不能跨过：自评符合条件，不等于完成国家层面的认定；15 个工作日的完备性查验，也不等于最终认定期限。企业可以表述为“依据征求意见稿开展自评，并评估是否申报”，不宜表述为“因超过 1000 万人，已自动进入大型个人信息处理者范围”。

依据与边界

本文依据国家网信办 2026 年 8 月 7 日发布的《关于〈大型个人信息处理者个人信息保护规定（征求意见稿）〉公开征求意见的通知》及其中第二条、第三条内容；公开征求意见截止时间为 2026 年 9 月 7 日。全文见：国家网信办通知。

再次强调：本文讨论的是征求意见稿阶段的判断方法，不是现行强制规则，不据此认定具体企业已经或必然成为大型个人信息处理者，也不预判最终文本。稳妥结论是：1000 万人是综合认定条件之一，企业应完成三项自评，并把“是否申报”与“是否已经认定”严格分开。