10万到100万人个人信息出境，认证路径怎么操作？

非关键信息基础设施运营者当年累计出境10万人以上、不满100万人非敏感个人信息的，可以走个人信息保护认证，这是三条路径中综合成本最低的一条。但走认证不等于减负：个人信息保护影响评估、告知与单独同意、现场审核、年度监督一个都不能少。同时必须记住一条红线——通过拆分合同、分批次传输规避评估门槛，监管已明确认定为违规。

一、三条路径的门槛怎么划

《个人信息保护法》第三十八条规定了个人信息出境的合法条件，实务中常用三条路径。门槛的高低决定选择权的大小，而门槛的判断依据是“人数”与“类型”两个变量。

安全评估（最严）。 适用情形包括：关键信息基础设施运营者向境外提供个人信息或重要数据；非关基运营者向境外提供重要数据；非关基运营者当年累计向境外提供100万人以上个人信息（不含敏感个人信息）；非关基运营者当年累计向境外提供1万人以上敏感个人信息；以及国家网信部门规定的其他情形。安全评估由省级网信部门初审、国家网信部门终审，周期通常以月计，评估内容覆盖出境必要性、境外接收方保护能力、数据范围与敏感程度、出境后风险。

标准合同备案（中等）。 适用于非关基运营者出境个人信息且未达安全评估门槛的情形，与境外接收方签订国家网信部门制定的标准合同，并在合同生效后十个工作日内向省级网信部门备案。优势是流程相对简单，代价是境外接收方须承诺遵守合同义务并接受中国法律管辖。

个人信息保护认证（最轻）。 2026年9月的政策问答明确：非关基运营者当年累计向境外提供10万人以上、不满100万人个人信息（不含敏感个人信息），且不含重要数据，可走认证路径。认证依据个人信息安全相关国家标准实施，由具备资质的认证机构承担，证书有效期通常为三年。

| 累计出境规模 | 可选路径 | 大致周期 | 关键动作 |

|---|---|---|---|

| 不满10万人且不含敏感信息 | 豁免申报（仍须履行实体义务） | 无需申报 | 影响评估、告知与同意 |

| 10万人至100万人，非敏感 | 认证、标准合同备案二选一 | 认证数月，备案数周 | 影响评估、单独同意、备案或认证 |

| 100万人以上，或敏感信息1万人以上 | 必须安全评估 | 数月 | 申报材料、专家评审、持续报告 |

这张表最容易出错的地方在“当年累计”三个字。它不是单次传输量，而是一个自然年内所有出境活动的加总，跨部门、跨系统、跨境外主体的传输都要合并计算。

二、认证路径的五步操作

第一步，做个人信息保护影响评估。 这是申请认证的前置条件，内容必须包括：出境个人信息的种类、敏感程度、数量与处理方式；出境的必要性与正当性；境外接收方的身份、所在国家或地区的保护水平；出境后可能面临的风险及应对措施。评估报告应由法定代表人或主要负责人签字确认，并至少保存三年。

第二步，告知与单独同意。 依《个人信息保护法》第三十九条，向境外提供个人信息前，应向个人告知境外接收方的名称或姓名、联系方式、处理目的、处理方式、信息种类，以及个人向境外接收方行使权利的方式和程序，并取得单独同意。单独同意意味着不能混在隐私政策的概括同意里，必须以显著方式单独获取，可拒绝、可撤回。

第三步，选择认证机构并提交申请。 材料通常包括认证申请书、主体资格证明、影响评估报告、个人信息保护管理制度、技术安全措施说明等。材料质量决定审核轮次，制度文件与实际情况脱节是最常见的退件原因。

第四步，配合现场审核。 审核重点集中在四块：收集、存储、使用、传输、删除的全流程管理；出境的技术安全措施，如加密传输与访问控制；个人信息主体权利响应机制，如查询、更正、删除请求的处理时限与记录；安全事件的应急响应预案。

第五步，获证后的持续合规。 证书有效期内需每年开展内部合规审计，发生重大变更（出境量级突破门槛、境外接收方变更、处理目的实质变化）应及时报告，并配合年度监督审核。

三、为什么数量拆分一定行不通

监管对数量拆分的态度是零容忍，原因不在技术，而在规则本身的设计。门槛按“当年累计”计算，拆分传输不改变累计结果；同时，出境的合法性取决于场景实质，同一处理目的下的多次传输在合规评价上被视为一个整体。

实践中常见的三种规避方式及其后果：把一次百万级传输切成若干小额传输，累计计算直接封堵；把个人信息拆给多个境外关联公司分别接收，接收方之间的关联关系会被穿透；把个人信息包装成去标识化数据出境，一旦可重识别即回到个人信息范畴。

需要说明的是，规避行为本身可能构成独立的违法事实，即便出境数据本身合规，仍可能因规避而受处罚。这条风险常被低估。

四、企业最容易失手的三处

其一，把认证当成一次性通关。 认证的有效期是有限的，且证书并非对所有场景通用。业务扩张、接收方更换、处理目的变化都会触发重新评估。

其二，忽略重要数据的独立规则。 认证路径的前提是“不含重要数据”。企业若未做数据分类分级，很可能在不知情的情况下携带了重要数据，导致整条路径失效。

其三，把境外关联公司当自己人。 集团内部传输同样是跨境提供，除可援引跨境人力资源管理豁免的情形外，程序义务一样不少。实务中集团总部统一收集全球员工数据做人才盘点，是最典型的踩线场景。

五、五步落地清单

1. 盘点全量出境场景。 列出传输路径、数据种类、接收方、传输方式与年度累计人数。
2. 完成数据分类分级。 先判断有没有重要数据、敏感个人信息，再谈路径选择。
3. 按人数区间定路径，并把选择理由写入合规台账，避免事后被质疑选错路径。
4. 补齐三项基础材料：影响评估报告、单独同意记录、与技术措施对应的说明文档。
5. 建立年度复盘机制，重点核查业务扩张是否已把某场景推过门槛。

六、现场审核最常被指出的四个问题

制度与执行两张皮。 制度文件写得很完整，但抽查若干条记录，发现权限审批、访问日志、删除请求处理都没有实际执行痕迹。审核看的是记录，不是文本。

境外接收方的控制力说不清。 企业能说明接收方是谁，但说不清对方如何处理、谁能访问、保留多久。这直接导致保障境外处理活动达到法定标准这一项无法通过。

权利响应机制没有时限。 有受理渠道，但没有处理时限与超时升级机制，也没有历史处理记录。个人信息主体权利响应是一个闭环，缺任一环节都算未落实。

技术措施与描述不符。 材料中写加密传输、访问审计，实际部署中只在部分链路实现。审核会要求提供配置截图或日志佐证，口头说明无效。

这四项的共同特征是：不需要高深技术，只需要有人真的做过并留下记录。因此准备工作的重点是补记录，而不是重写文档。

广东华商律师事务所潘杰峰律师点评

数据出境这件工作上，我观察到企业最常犯的错误是“先做材料、后想逻辑”——先找模板把影响评估报告写出来，再反推业务场景，结果报告与实际情况两张皮，现场审核一问就露。正确顺序是先画清楚数据怎么流、流到谁手里、用来干什么，材料自然成形。第二点提醒是单独同意这一项，它在检查中失分最多，因为绝大多数企业把它做成了隐私政策的勾选框，而不是独立授权动作。第三点，关于认证与标准合同的选择，我的建议是按传输关系的稳定性判断：长期、高频、多接收方的走认证，一次性或低频的走备案，两者的成本结构完全不同。以上分析基于现行规范与公开政策口径，具体场景的路径选择建议结合数据处理实质另行评估。

FAQ

问：认证和标准合同备案，到底选哪个更划算？

答：看传输关系的形态。认证适合长期、高频、多接收方的传输，一次认证覆盖多个场景与接收方，摊薄后综合成本更低，但首次投入与周期较大。标准合同备案适合单一或少量接收方、传输频次较低的场景，数周内可完成，但每新增一个接收方就需要重新签订并备案。若集团内部多个关联公司之间持续传输，认证通常是更优解。

问：出境人数刚好接近100万，超过之后怎么办？

答：超过门槛后认证路径不再适用，应转为申报安全评估。实务上不建议等到临界点才处理，因为评估周期以月计，业务不能等。可行做法是建立人数监测，对接近门槛的场景提前启动评估准备，并在业务规划阶段就把数据出境规模作为约束条件纳入设计。

问：境外接收方不同意接受中国法律管辖，还能签标准合同吗？

答：标准合同是网信部门制定的格式文本，其核心条款不容实质修改，其中就包括境外接收方接受中国法律管辖与配合监督的内容。若对方拒绝接受，则标准合同路径不通，此时应评估改用安全评估或认证路径的可行性。也有一些企业选择调整合作结构，例如由境内主体承担更多处理职能、减少向境外提供的个人信息范围，从源头降低合规难度。