数据出境要过哪几道关？企业合规路径

一、哪些情形算「数据出境」？

比很多人想的宽。三类：①物理传输——把境内收集的数据存储介质寄往境外、交给境外机构；②网络传输——上传至境外服务器、境外总部系统、境外云服务；③境外访问——境外主体（母公司、关联公司、服务商）可以远程访问境内数据，即使数据未「传输」，也可能构成出境。常见被忽略的场景：使用境外 SaaS（CRM、邮件营销、客服系统）、境外总部统一管理的人力系统、境外 IT 运维远程支持、跨境集团内部的报表汇总。判断标准是「境外主体能否获取境内个人信息」，而不是「数据有没有过境」。

二、三条路径怎么选？

按主体与数量分层：①必须安全评估——关键信息基础设施运营者向境外提供个人信息或重要数据；处理一百万人以上个人信息的处理者向境外提供个人信息；自当年 1 月 1 日起累计向境外提供十万人以上个人信息或一万人以上敏感个人信息；向境外提供重要数据。②标准合同或认证——未达到上述数量标准的，可选择订立标准合同并备案，或通过个人信息保护认证。③豁免情形——依《促进和规范数据跨境流动规定》，为订立、履行个人作为一方当事人的合同所必需（如跨境购物、寄递、支付、机票酒店预订）、按依法制定的劳动规章制度实施跨境人力资源管理所必需、紧急情况下为保护自然人生命健康和财产安全所必需、以及年度累计不满十万人（不含敏感个人信息）的非敏感个人信息出境等，可免于申报。具体门槛与豁免范围以现行规定及网信部门口径为准。

三、安全评估要准备什么？

四份核心材料：①申报书——出境场景、数据种类、数量、频次、目的、境外接收方；②数据出境风险自评估报告——数据处理者与境外接收方的数据安全能力、出境必要性、对个人权益的影响、风险与措施；③法律文件——与境外接收方的合同（须包含数据安全保护义务、违约责任、争议解决等）；④安全管理制度与技术措施说明——加密、去标识化、访问控制、审计日志、应急响应。评估流程：向省级网信部门提交，由其转报国家网信部门；评估结果有效期通常为二年（期满需重新申报）。要留足时间——从准备材料到取得结果，实务中往往数月。

四、标准合同怎么签、怎么备案？

两步：①签订——使用网信部门发布的标准合同范本，不得修改核心条款（可补充不冲突的内容），与境外接收方签署；②备案——自标准合同生效之日起十个工作日内向所在地省级网信部门备案，提交备案表、标准合同、个人信息保护影响评估报告。备案不是审批，但未备案即出境属于违规。此外，标准合同要求境外接收方接受我国法律管辖、配合问询与检查，若对方所在国法律与合同义务冲突（如被要求向当地执法机构提供数据），应在合同中约定「冲突时及时通知并采取救济措施」。这一点在跨境集团内部常被忽略，签署前应让境外法务确认可行性。

五、违规有什么后果？

三层责任：①行政责任——《个人信息保护法》第 66 条：违法处理个人信息，由履行个人信息保护职责的部门责令改正、给予警告、没收违法所得；拒不改正的，并处一百万元以下罚款；情节严重的，由省级以上部门责令暂停相关业务或停业整顿、通报有关主管部门吊销相关业务许可或营业执照，对直接负责的主管人员和其他直接责任人员处十万元以上一百万元以下罚款，并可决定禁止其在一定期限内担任相关企业的董事、监事、高级管理人员和个人信息保护负责人；②民事责任——因处理个人信息侵害个人信息权益造成损害，处理者不能证明自己没有过错的，应承担损害赔偿等侵权责任；③刑事风险——非法获取、出售或提供公民个人信息，可能构成侵犯公民个人信息罪（《刑法》第 253 条之一）。此外还有数据安全法项下的责任，以及重要数据违规出境可能触及国家安全审查。

六、企业从哪开始做？

五步落地：①数据盘点与分类分级——把系统里的数据按「个人信息 / 敏感个人信息 / 重要数据」分出来，标出流向；②场景梳理——逐个业务场景判断是否构成出境（含境外访问、境外 SaaS）；③路径匹配——按数量与主体确定走评估、认证还是标准合同，能适用豁免的留存证明；④合同与制度——与境外方签数据处理协议、制定出境管理制度与应急预案；⑤持续合规——年度复核数据量变化、评估到期前重新申报、留存同意记录与影响评估报告。判断难点通常在「重要数据」的识别——行业主管部门发布的目录是主要依据，以行业与网信部门现行规定为准。涉外业务整体合规见 杭州涉外律师：国际贸易与跨境合规指南，跨境电商场景见 跨境电商店铺被封、货款被冻结怎么办。

本文为一般性普法信息，不构成对具体案件的法律意见；个案请咨询专业律师，并以现行有效法律法规及受理法院意见为准。

免费庭前风险评估工具

打官司前，先花 3 分钟做个庭前评估。微信扫码使用「杭州律师郑奕」小程序，看清你的案子有几成把握。