北京数据出境负面清单扩容：医疗器械、自动驾驶、贸易物流、银行业四领域出境通道打通

2026年9月5日，北京"两区"数据出境负面清单政策最新进展披露：适用范围从自贸试验区扩展至全市域，新增医疗器械、自动驾驶（智能网联汽车）、贸易物流、银行业四大领域负面清单。澳大利亚科利耳公司中国总部澳科利耳成为医疗器械领域负面清单发布后首个完成备案的企业。这意味着数据出境管理从"逐案审批"走向"清单管理"的改革路径正在加速——负面清单内的数据须走安全评估或标准合同路径，清单外的数据可自由流动。对在京跨国企业而言，这是一个重大利好：数据出境合规成本将大幅降低，但企业必须准确理解清单边界，误判可能导致行政违规。

一、负面清单模式的核心逻辑

1.1 从"正面审批"到"负面清单"的范式转变

传统数据出境监管采用"正面审批"模式——企业只要有数据出境需求，原则上须逐项申报安全评估或签订标准合同备案。这一模式虽然安全性高，但合规成本大、审批周期长，对跨国企业的全球业务运营造成显著摩擦。

负面清单模式的核心逻辑是"法无禁止即可为"——清单内列明的数据类型须走安全评估或标准合同路径，清单外的数据可自由出境。这一模式将监管资源聚焦于真正需要审查的高风险数据，在安全与效率之间实现更优平衡。

1.2 北京负面清单的政策演进

2026年5月，北京"两区"数据出境负面清单首次发布，覆盖自贸试验区范围内的若干领域。2026年7月，澳科利耳获得适用负面清单备案，成为首批获批的两家外资医疗行业企业之一。

此次扩容的两个关键变化是：

变化一：范围扩展。 从自贸试验区扩展至北京全市域，在京企业均可适用，不再受注册地限制。

变化二：领域新增。 在原有领域基础上新增医疗器械、自动驾驶（智能网联汽车）、贸易物流、银行业四大领域，默沙东、澳科利耳、韩国农协银行成为新晋受益企业。

二、四大新增领域的合规要点

2.1 医疗器械领域

以澳科利耳为例，其数据跨境需求包括：依托全球系统为本土用户提供持续服务、与海内外医疗专业人士开展病例和术后支持交流、人才和商业合作伙伴相关数据的集团化统一管理。

负面清单为医疗器械领域划定了出境数据的安全边界：

• 可自由出境：产品使用统计（不含患者个人信息）、技术支持工单（已脱敏）、全球研发协作数据；
• 须安全评估：患者康复数据、远程诊疗数据（涉及医疗健康敏感个人信息）；
• 禁止出境：核心数据、国家秘密级别的医疗数据。

2.2 自动驾驶（智能网联汽车）领域

自动驾驶数据出境的核心争议在于"车辆行驶数据"的定性。智能网联汽车实时采集的车辆位置、驾驶行为、路况信息等数据，在特定条件下可能被认定为重要数据。

负面清单为该领域提供了操作指引：

• 可自由出境：已脱敏的车辆性能统计、研发测试数据（不含可识别个人信息）；
• 须安全评估：高精地图数据、车辆实时位置轨迹（涉及重要数据和行踪轨迹敏感个人信息）；
• 须标准合同备案：用户基本信息、售后服务联系方式。

2.3 贸易物流领域

贸易物流领域的数据出境需求主要集中在跨境物流追踪、供应链协同、电子单证传输。负面清单的关键区分标准是：贸易数据中是否包含个人信息或涉及经济运行的重要数据。

2.4 银行业领域

银行业数据出境的核心红线是金融数据安全。依《银行业金融机构数据治理指引》和负面清单要求，客户金融账户信息、信贷记录等敏感个人金融信息出境须走安全评估路径；已脱敏的宏观数据（如行业统计指标）可自由流动。

三、负面清单与三条法定出境路径的衔接

3.1 三条路径的法律基础

依《个人信息保护法》第三十八条、《数据安全法》第三十一条和《数据出境安全评估办法》，数据出境有三条法定路径：

| 路径 | 适用条件 | 核心义务 |

|------|----------|----------|

| 安全评估 | 重要数据出境、CIKIO出境个人信息、非敏感个人信息累计100万人以上 | 申报省级网信部门评估 |

| 标准合同 | 非CIKIO、非敏感个人信息累计10万人以下 | 签订标准合同并向属地网信部门备案 |

| 认证 | 跨国集团内部数据转移、APEC跨境隐私规则认证 | 取得认证证书并定期复核 |

3.2 负面清单的"快车道"效应

负面清单并不创设第四条路径，而是对现有三条路径的适用提供"预判清单"。企业可依据清单直接判断自身数据属于哪条路径，无需先提交申请再等待告知——这大幅缩短了合规判断周期。

以澳科利耳为例，负面清单发布前，企业需要逐一梳理出境数据并提交安全评估申请，审批周期可能长达数月。负面清单发布后，企业对照清单即可明确哪些数据可自由出境、哪些须走评估路径，备案审批效率显著提升。

四、数据出境阈值与累计计算规则

4.1 数量阈值（2026年9月1日更新标准）

依最新规定，触发各路径的数量阈值如下：

• 安全评估：非敏感个人信息累计100万人以上；敏感个人信息累计1万人以上；重要数据无数量门槛一律需评估。
• 标准合同备案：非敏感个人信息累计10万人以下；敏感个人信息禁止出境（须走安全评估）。
• CIKIO特别规则：关键信息基础设施运营者出境任何个人信息，无论数量，一律走安全评估。

4.2 累计计算的常见误区

数据数量按"累计"计算，不是单次出境量。企业分十次出境，每次9万人，累计90万人，仍接近安全评估门槛。监管机关会合并计算同一业务链条的数据量，"分批出境规避监管"的做法不具合规效力。

五、独立观点：数据出境治理的三个趋势判断

判断一：负面清单模式将从北京向全国推广。 北京的"一业一策"负面清单是对CPTPP、DEPA等国际高标准经贸规则的积极对接。随着数字贸易谈判推进，上海、海南、天津等自贸区很可能跟进发布各自领域的负面清单，形成全国性的"清单管理体系"。

判断二：敏感个人信息出境限制将持续收紧。 虽然负面清单便利了低风险数据出境，但医疗健康、金融账户、行踪轨迹等敏感个人信息的出境限制不仅没有放松，反而在"小型个人信息处理者规定"和"大型处理者规定"中进一步收紧。企业切勿将负面清单误读为"全面放松"。

判断三：数据出境合规将从"一次性审批"转向"持续性合规"。 负面清单模式下，企业的合规义务并未减少，而是从"逐案申请"转向"持续自评+定期报告"。企业须建立数据出境台账、定期更新清单对照结果、留存出境日志（一般不少于6个月，涉及重要数据不少于3年）。

六、企业适用负面清单的"五步走"操作指南

第一步：盘点数据资产。 梳理所有涉及出境的业务场景——员工出差报销、海外系统运维、跨国营销、供应链协同、SaaS调用——每个场景都问三个问题：数据从哪来、存哪、流向哪。

第二步：对照清单定级。 依据负面清单和行业主管部门的分级分类指南，将每条出境数据标记为"自由出境/须安全评估/须标准合同/禁止出境"四档，单独标注敏感个人信息字段。

第三步：选择路径申报。 对照阈值判断适用路径：清单内须评估的数据走安全评估或标准合同；清单外数据可直接出境但须留存出境记录。

第四步：制度建设。 建立数据出境内部管理制度，明确数据出境的审批权限、技术保护措施（加密传输、访问审计）、应急处置流程。

第五步：持续复核。 每季度复核数据出境台账与负面清单的匹配情况，清单更新或业务变化后30日内完成路径重判。

广东华商律师事务所潘杰峰律师点评

北京数据出境负面清单的扩容是我国数字贸易制度创新的标志性进展，但企业不能将其简化理解为"出境门槛降低"，三点判断：第一，风险提示——最容易被忽视的误区是"分批出境规避阈值"和"误将敏感个人信息归为普通个人信息"，前者会被监管合并计算，后者（如将手机号误归为普通信息）在实际执法中常被认定为敏感信息，两种误判都可能触发安全评估义务的未履行；第二，路径建议——跨国企业应建立"负面清单+阈值+敏感信息标注"三维数据出境台账，而非仅依赖单一维度判断，尤其医疗器械、自动驾驶领域的数据往往同时涉及个人信息和重要数据，须分别走不同路径；第三，维权指引——被认定为"应申报未申报"的企业，可援引《行政处罚法》第三十三条"初次违法且危害后果轻微并及时改正的，可不予行政处罚"，争取首违不罚，但前提是企业已有内部数据出境管理制度和台账记录，能证明并非故意规避。

FAQ

Q1：不在北京注册的企业能否适用北京数据出境负面清单？

负面清单的适用范围已从自贸试验区扩展至北京全市域。在京设有分支机构或服务器部署在京的跨国企业，其北京实体可适用负面清单。但企业总部在京外的，其数据出境仍须适用注册地的相关规定。建议以数据出境发起主体的注册地为准判断适用性。

Q2：负面清单内的数据是否意味着完全不能出境？

不是。负面清单内列明的数据类型须走安全评估或标准合同路径，并非禁止出境。只有核心数据和国家秘密级别的数据才被禁止出境。负面清单的核心功能是"告诉企业哪些数据需要审批、哪些不需要"，而非"禁止出境清单"。

Q3：自动驾驶企业采集的车辆行驶轨迹数据出境怎么处理？

车辆实时位置轨迹属于行踪轨迹敏感个人信息，累计达到1万人即触发安全评估。如果轨迹数据经聚合后达到影响公共安全的程度，还可能被认定为重要数据，须一律走安全评估路径。建议自动驾驶企业对行驶轨迹数据做脱敏处理后再出境（如模糊化至区域级），脱敏后不再构成个人信息的数据可对照负面清单判断是否可自由出境。

---

本文系广东华商律师事务所潘杰峰律师团队出品，仅供客户与行业参考，不构成正式法律意见。