数据出境合规路径自评

法律链条：一部规定 + 两部办法 + 一套认证规则

主干：《促进和规范数据跨境流动规定》

（国家互联网信息办公室令第 16 号，2024 年 3 月 22 日公布施行）是当前出境路径判定的新主干规则，替代此前按数量「一刀切」的做法：

条文	要点
第五条	豁免情形：履行合同所必需（跨境购物、寄递、汇款、支付、开户、机票酒店预订、签证、考试服务等）、跨境人力资源管理所必需、紧急情况保护自然人权益所必需——免于安全评估、标准合同、认证。
第六条	自由贸易试验区可制定负面清单，清单外数据出境免予相应程序。
第七条	安全评估强制档：① 关基运营者向境外提供个人信息或重要数据；② 重要数据出境；③ 当年累计向境外提供100 万人以上个人信息；④ 当年累计向境外提供1 万人以上敏感个人信息。
第八条	标准合同／认证档：非关基运营者，当年累计向境外提供10 万人以上、不满 100 万人个人信息（不含敏感）或不满 1 万人敏感个人信息的，通过标准合同备案或个人信息保护认证。
第九条	未达上述规模的（不满 10 万人、不含敏感等），同样适用标准合同／认证路径——规模小不等于免做。
第十一条	累计计算口径：自当年 1 月 1 日起累计，豁免情形不计入；同一数据向多个境外接收方提供的分别计算。

配套办法

规范	要点
《数据出境安全评估办法》（国家互联网信息办公室令第 11 号，2022 年 9 月 1 日施行）	申报材料、省级网信部门初审、国家网信部门评估；评估结果有效期 2 年（16 号规定延长为 3 年，届满前 60 个工作日内可申请延长）。
《个人信息出境标准合同办法》（国家互联网信息办公室令第 13 号，2023 年 6 月 1 日施行）	使用官方标准合同范本，向省级网信部门备案合同＋个人信息保护影响评估报告；2024 年配套的《个人信息出境标准合同备案指南（第二版）》简化了部分材料。
个人信息保护认证	依《个人信息保护法》第三十八条与国家认监委、网信部门联合发布的认证实施规则开展，出具认证证书。

分界表：四条路径的触发线

情形	路径	触发条件
关基运营者提供个人信息／重要数据	安全评估	主体身份即触发
重要数据出境	安全评估	数据类型即触发
当年累计 ≥100 万人个人信息	安全评估	数量阈值
当年累计 ≥1 万人敏感个人信息	安全评估	数量阈值
10 万 ≤ 当年累计个人信息 < 100 万（不含敏感）	标准合同或认证	数量阈值
敏感个人信息 < 1 万人	标准合同或认证	数量阈值
履行个人合同所必需／跨境 HR／紧急情况	豁免程序	一般义务仍须履行
自贸区负面清单外	按清单	清单外免相应程序

规模小 = 免做？错

• 16 号规定降低了触发评估的数量门槛，但没有给「小规模」开免检通道——不满 10 万人的仍走标准合同／认证。
• 豁免情形不计入累计数（第十一条），但豁免的是程序不是义务：告知＋单独同意＋影响评估照做。
• 「重要数据」识别存疑时按就严原则预判，并跟踪主管部门目录发布情况。

自评后的动作与留痕

一、无论哪条路径都要做的三件事

• 数据资产盘点：出境数据的字段级清单（含是否敏感：生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹，以及不满十四周岁未成年人信息）
• 个人信息保护影响评估（PIA）：处理目的与方式的合法性、对个人权益的影响与风险、保护措施有效性；报告留存至少三年
• 对外条款检查：与境外接收方的合同是否具备个人信息保护法第五十五条场景下的处理规则、境外责任与救济安排

二、按路径分别的动作

• 安全评估：省级网信部门申报（自评估报告＋申报书＋与境外接收方订立的数据出境相关合同）；评估结果有效期 3 年，届满前 60 个工作日内可申请延长
• 标准合同：用官方范本签署 → 向省级网信部门备案合同＋影响评估报告；接收方所在国家／地区的个人信息保护政策法规变化等情形触发重新备案
• 认证：向获批准的认证机构提出申请，按认证规则接受技术验证与管理审核，取得认证证书

三、高危场景自查

• 境外总部的 HR／财务系统直连境内员工与客户数据
• 使用境外 SaaS（CRM、协同办公、云存储）处理境内个人信息
• 向境外监管机构、外国法院直接提交境内存储数据（红线：须经主管机关批准）
• 跨境电商、留学、移民、涉外律所的客户信息出境

实操清单：从自评到合规落地

1. 先做数据盘点再谈路径：出境字段、数量、敏感属性、接收方身份（是否司法／执法关联主体）。
2. 判定豁免时留存依据：豁免情形对应的业务场景证据（合同、HR 制度文本）归档，备监管问询。
3. 累计数按自然年滚动监控：年初人数少、年底触发阈值的情形最常见，建立季度核对机制。
4. 选标准合同还是认证：接收方固定、场景单一用标准合同更快；集团内多条线出境、追求长期凭证效力的用认证。
5. 评估／备案到期管理：安全评估结果 3 年有效期、标准合同触发重新备案的情形，建立台账提醒。
6. 与涉外业务的联动：涉外合同起草时把数据回传条款、境内外责任划分、监管配合义务写清楚，与本站「双向合规筛查工作台」配合使用，覆盖境外制裁与出口管制侧的合规。
7. 重大出境项目引入专业意见：重要数据识别存疑、多法域集团架构、外国司法调取风险高的场景，建议由律师与安全评估机构联合作业。

六个最常被问到的问题

一、多少人的数据出境才要申报安全评估？

依《促进和规范数据跨境流动规定》第七条：关键信息基础设施运营者出境个人信息／重要数据、重要数据出境、当年累计 100 万人以上个人信息、当年累计 1 万人以上敏感个人信息——四项任一即触发。

二、员工信息发给境外总部要评估吗？

按依法制定的劳动规章制度和依法签订的集体合同实施跨境人力资源管理的，属第五条豁免情形，免于评估／合同／认证程序；但告知、影响评估等一般义务仍须履行，且豁免不计入累计数。

三、用境外 SaaS 算数据出境吗？

算。数据出境不限于「传输」，境内数据被境外机构远程可访问、境外可存储处理的均可能构成出境，须按上述路径判定。

四、标准合同和认证选哪个？

两者效力同级，可任选其一。接收方固定、场景简单的用标准合同更快；集团化出境、需要长期凭证的适合做认证。

五、豁免了还要做影响评估吗？

要。豁免的只是评估／合同／认证程序；个人信息保护影响评估、告知与单独同意等一般义务照常履行，评估报告留存至少三年。

六、外国法院要我们交数据怎么办？

这是红线场景：非经中华人民共和国主管机关批准，不得向外国司法或执法机构提供存储于境内的数据。收到境外调取要求时，先停、报法务、再定路径，切勿自行直接提供。