关于个人信息处理者用户规模的量级
编者按：
在万众瞩目下，我国《个人信息保护法》历经多年的酝酿，终于和国人乃至世界见面。对这部我国“数字时代的基本法”进行解读，从不同的角度能看到不一样的精妙之处。此前，本公号发表过的关于此议题相关文章包括：
为落实《个人信息保护法》，国家互联网信息办公室今天就《数据出境安全评估办法（征求意见稿）》公开征求意见【国家互联网信息办公室关于《数据出境安全评估办法（征求意见稿）》公开征求意见的通知】。很有意思的是，市场监管总局也在今天也发布《互联网平台落实主体责任指南（征求意见稿）》【互联网平台落实主体责任指南（征求意见稿）】《互联网平台分类分级指南（征求意见稿）》【互联网平台分类分级指南（征求意见稿）】。
这几部征求意见稿中，均对个人信息处理者的“用户规模”做了界定，很有意思，公号君做了简单的对比，供大家参考。
《数据出境安全评估办法（征求意见稿）》中规定：
其中一百万、十万和一万，分别指向不同的情形。按照本办法，
1、如果境内处理超过100万人的个人信息了，个人信息处理者对外提供任何数量的个人信息，都应当申报出境安全评估。
2、如果境内处理不到100万人的个人信息，但是累计向境外提供超过10万人以上个人信息或者1万人以上敏感个人信息，这时候个人信息处理者也应当申报出境安全评估。
再看《个人信息保护法》第40条，“关键信息基础设施运营者和处理个人信息达到国家网信部门规定数量的个人信息处理者，应当将在中华人民共和国境内收集和产生的个人信息存储在境内。确需向境外提供的，应当通过国家网信部门组织的安全评估；法律、行政法规和国家网信部门规定可以不进行安全评估的，从其规定”。
很自然就会得到一个推论：第40条中的“处理个人信息达到国家网信部门规定数量的个人信息处理者”中，国家网信部门规定的数量，是不是就是100万？因为要特别考虑到一个场景，就是假设一个个中国用户自己注册了某个外国网站的用户【注意，这个不属于要出境评估的场景】，随着时间的累计，外国网站发现自己的中国用户数量已经超过了100万人，这时候，是不是按照第40条规定，外国网站必须将服务器挪到中国？或者至少在国内建立一个个人信息存储副本？
让我们再看看市场监管总局今天公开的两个文件。在《互联网平台分类分级指南》中，存在以下三个层级的划分：
在《互联网平台落实主体责任指南》中，存在以下划分：
很有意思，在一天之内，出现了对个人信息处理者所处理的个人信息规模的不同划分方式：
首先，在数据出境这个场景中，如果个人信息保护法第40条中“国家网信部门规定的数量”就是100万，那么100万用户的个人信息处理者，其重要性和关键信息基础设施运营者是等量齐观的。
在市场监管总局的两个文件中，大型平台或超大型平台是5000万活跃用户（即个人）。
两者并列看，大型平台或超大型平台，就要比关键信息基础设施还要来的重要。
当然，这么简单比也许没有任何科学性（也很无聊），就是一点观察，供大家拍砖。（完）
域外数据安全和个人信息保护领域的权威文件，DPO社群的全文翻译：
DPO线下沙龙的实录见：
个人数据与域外国家安全审查系列文章
围绕着TIKTOK和WECHAT的总统令，本公号发表了以下文章：
第29条工作组/EDPB关于GDPR的指导意见的翻译：
关于美国出口管制制度，本公号发表过系列文章：
供应链安全文章：
数据跨境流动政策、法律、实践的系列文章：
传染病疫情防控与个人信息保护系列文章
关于数据与竞争政策的翻译和分析：
健康医疗大数据系列文章：
网联汽车数据和自动驾驶的系列文章：
关于中美与国家安全相关的审查机制的系列文章：
美国电信行业涉及外国参与的安全审查（一）：基本制度介绍
美国电信行业涉及外国参与的安全审查（二）：国际性的第214节授权
美国电信行业涉及外国参与的安全审查（三）：建立外国参与安全审查的行政令
美国电信行业涉及外国参与的安全审查（四）：FCC对中国企业的陈述理由令
网络空间的国际法适用问题系列文章：
赴美上市网络、数据安全风险系列文章如下：
人脸识别系列文章：
关于欧盟技术主权相关举措的翻译和分析：
数据要素治理的相关文章包括：
关于保护网络和信息系统安全的相关文章包括：
数据执法跨境调取的相关文章：
关于人工智能安全和监管，本公号发布过以下文章：
数据的安全、个人信息保护、不正当竞争等方面的重大案例：
数字贸易协定的相关文章有：
关于《数据安全法》，本公号发表过的相关文章包括：
行业监管部门的数据安全和个人信息保护方面的法律法规分析：
关于数据要素治理，本公号发表的相关文章包括：