大湾区数据特区落地：个人信息出境标准合同湾区不设数量上限

粤港澳大湾区数据特区方案最大的制度红利，是把内地与港澳之间的个人信息跨境流动成本实质性降了下来：标准合同数量限制"湾区内不设数量上限"，叠加备案"绿色通道"与"一次备案、多次使用"，意味着粤港、粤澳业务往来频繁的企业，可能不再需要因数据量增长而逐次申报安全评估。对深圳企业尤其值得关注的是两点：前海、河套被点名加快出台负面清单细则，广州、深圳全域适用负面清单已在探索之中。企业应借这次政策窗口，重新梳理对港澳数据流，先看负面清单能否覆盖，再用大湾区标准合同兜底，把合规成本压到最低。

一、方案改了什么：三条便利机制一次看懂

第一，标准合同数量限制"湾区内不设数量上限"。按照《个人信息保护法》第三十八条，个人信息出境可走安全评估、保护认证、标准合同三条路径，其中标准合同路径受数量门槛约束——依据《促进和规范数据跨境流动规定》，超过一定数量即须申报安全评估。数据特区方案针对内地与港澳之间的流动，通过大湾区标准合同便利机制突破数量限制，这是全国先行先试级别的制度创新。前提是符合适用范围与合规约束条件，并非所有出境场景都可适用。

第二，备案"绿色通道"加"一次备案、多次使用"。标准合同备案流程简化、时限压缩，且一次备案可覆盖多次同类流动。对跨境人力资源、跨境客服、跨境结算这类持续性场景，企业不必为每次业务增量重复备案，合规从"一事一办"变为"一备多用"。

第三，负面清单细则加快落地并探索扩围。横琴、前海、南沙将出台负面清单管理细则与实施指南；方案同时探索把负面清单适用范围扩大到广州、深圳全域。负面清单之外的数据出境事项免于评估或备案，清单越细、覆盖越广，企业免申报的空间越大。北京已将负面清单机制扩至全域并实现场景化、字段级申报，广东跟进后深圳企业将直接受益。

二、标准合同不设数量上限，等于不用评估了吗？

不是。企业需要厘清三个边界：

1. 地域边界。数量上限突破适用于通过大湾区标准合同开展的内地与港澳间个人信息流动。向港澳以外地区（如东南亚、欧美）传输个人信息，仍适用全国性规则，达到门槛照样申报安全评估。
2. 数据类型边界。重要数据出境一律须通过国家网信部门安全评估，不存在标准合同替代；敏感个人信息规模较大的场景，也应谨慎评估是否仍触发评估义务。
3. 合规约束边界。适用便利机制仍须履行告知、取得个人单独同意、开展个人信息保护影响评估等《个人信息保护法》基础义务，且不得通过拆分数量等手段规避监管。便利机制降低的是程序成本，不是实体义务。

三、大湾区企业的行动清单

1. 盘点对港澳数据流：梳理业务中流向香港、澳门的个人信息与数据类型、数量、系统路径，形成数据流清单。
2. 优先匹配负面清单：关注前海、南沙、横琴负面清单细则发布动态，清单外事项直接免评估免备案。
3. 切换大湾区标准合同：对不适用负面清单的对港澳流动，改用大湾区标准合同模式，用足"一次备案、多次使用"。
4. 保留证据链：适用豁免或便利路径的，留存适用依据、影响评估报告、合同文本，应对后续核查。
5. 布局"来数加工"业务：承接海外数据存储、清洗、标注、建模的数据服务商，可关注九大场景配套政策，同步做好境外数据入境的安全评估准备。

广东华商律师事务所潘杰峰律师点评

数据特区方案对深圳企业是实打实的利好，尤其是有跨境供应链、跨境金融、跨境医疗业务的客户——过去卡在安全评估周期上的数据流，现在多数可以通过"负面清单豁免+大湾区标准合同"两步解决。但要提醒两点：一是便利机制的适用前提是数据流真实发生在内地与港澳之间，通过港澳中转再出境的数据并不因此豁免，架构设计时不要误读；二是政策红利期往往伴随严监管，"一次备案、多次使用"意味着备案文件质量要求更高，一次违规可能牵连多次使用记录。建议企业趁细则出台前完成数据流盘点，细则落地后第一时间匹配申报。

FAQ

Q1：内地与香港之间的客户数据传输，现在还需要网信办安全评估吗？

A：分情形处理。落入数据出境负面清单之外的个人信息流动，可免于评估或备案；适用大湾区标准合同的内地—港澳流动，在方案适用范围内不设数量上限。但涉及重要数据、或属于关键信息基础设施运营者的场景，仍须申报安全评估。建议结合自身数据类型做个案判断。

Q2：大湾区标准合同与全国版标准合同有什么区别？

A：大湾区标准合同是针对内地与港澳间个人信息跨境流动的专门模式，配套"绿色通道"备案与数量上限突破等便利机制，文本要求与备案流程均更简化。向港澳以外地区出境仍使用全国版标准合同并按全国规则备案。

Q3："来数加工"业务接收境外数据入境，也要办数据出境手续吗？

A："来数加工"指向的是境外数据入境后在境内加工处理，本身不触发出境评估；但加工后的数据如需再传输回境外或向第三方国家提供，则构成数据出境，须按届时规则履行评估、认证或标准合同义务，业务设计时应一并规划双向合规路径。