海南"来数加工"亮相数贸会：数据出境合规新通道实务解析

"来数加工"模式为高价值数据的跨境加工与再出海提供了制度化的新通道，但其本质是"合规通道"而非"免检通道"：境外数据引入境内加工后再次出境，仍须落入数据出境安全评估、个人信息出境标准合同、个人信息保护认证三条路径或自贸港负面清单管理之内。企业利用海南通道的正确姿势是"分类分级打底、负面清单判路、评估报备留痕"，把数据保税的效率红利与出境合规的确定性同时拿到手。

一、"来数加工"是什么：数据保税加工的制度逻辑

"来数加工"借鉴了货物贸易保税加工的思路：境外数据进入海南的特殊监管区域，在不离开受控环境的前提下完成清洗、标注、建模、产品化，形成的数字产品再输出到全球市场。它与传统的"数据出境再回流"完全不同——原始数据不出境去外部云环境，而是在境内受控设施内加工，监管者可管可控，企业则借助海南的国际通信海缆、海底数据中心等基础设施降低跨境传输成本。

从政策供给看，海南的通道由三层构成：地方立法层面，《海南自由贸易港数字经济促进条例》《海南自由贸易港国际数据中心发展规定》为数据跨境流动提供法规依据；服务层面，海南省数据跨境服务中心提供合规咨询、出境评估申报、专用通道受理的一站式服务；载体层面，航天数据跨境加工贸易区、洋浦"数字保税"区提供了物理与监管意义上的落地空间。邓白氏成为海南首家通过国家网信办数据出境安全评估的企业，则提供了一个"评估可过、业务可跑"的现实样本。

二、境外数据"引进来"需要安全评估吗？

目前的出境监管体系规制的是"数据从境内流向境外"，境外数据进入境内本身不是评估对象。但这不等于"引进来"没有法律义务。第一，境外数据在境内加工时如果包含中国自然人的个人信息回流，或与境内数据融合形成新的个人信息池，后续处理就落入《个人信息保护法》的规制范围；第二，引入数据的内容安全属性必须审查，涉及测绘、地理信息等敏感领域的原始数据（如卫星遥感数据），其采集、处理、再输出受到行业监管的额外约束，这恰恰是入驻航天数据跨境加工贸易区的企业要重点自查的环节；第三，数据来源的合法性链条要完整，境外数据供应商的授权文件、合同约定应能支撑后续加工与产品化。

真正的合规重心在"再出境"环节。加工形成的原始数据、中间数据、数据产品三类对象的出境义务各不相同：原始数据出境按一般规则处理；中间数据若仍可还原为个人信息或属于重要数据，不能以"已是产品"为由规避评估；只有真正完成脱敏、聚合、不可逆加工的数据产品，才可能适用较宽松的流转规则。

三、加工后的数据如何"走出去"：路径怎么选

再出境的路径选择遵循现行数据出境三路径体系。《促进和规范数据跨境流动规定》与配套申报指南确立了基本刻度：关键信息基础设施运营者向境外提供个人信息或重要数据、非关键信息基础设施运营者向境外提供重要数据，或者自当年1月1日起累计向境外提供100万人以上个人信息（不含敏感个人信息）或1万人以上敏感个人信息的，应当申报数据出境安全评估；10万人以上不满100万人个人信息或不满1万人敏感个人信息的，可以订立个人信息出境标准合同或通过个人信息保护认证；低于阈值的场景可依据规定的豁免条款直接出境。

自贸区负面清单是关键的简化工具。按照负面清单开展数据出境活动的数据处理者，可在清单便利范围内先行开展业务，并在使用负面清单之日起15个工作日内向所在地数据跨境服务机构报备使用情况；清单之外的数据可以免予申报安全评估。海南作为自由贸易港，其负面清单与国际数据中心政策叠加，正是"来数加工"企业缩短合规链路的核心抓手。但要注意两条红线：不得采取数量拆分等手段规避安全评估；重要数据出境必须走评估，负面清单不豁免法定评估义务。

四、企业落地的三步法与风险提示

第一步，数据画像。对拟引入的境外数据做全量盘点，标注是否包含个人信息、敏感个人信息、重要数据及行业敏感字段，形成分类分级台账。第二步，路径设计。结合加工后产品的形态与目标市场，逐项匹配评估、标准合同、认证或负面清单报备路径，必要时利用海南数据跨境服务中心的预审服务校准判断。第三步，留痕运营。加工环节做好访问控制、日志留存与脱敏记录，出境环节保存申报材料、备案编号与评估结果通知书，形成"引入—加工—再出境"全链路的合规证据链。

风险提示有三：一是"数字保税"不等于监管真空，区内数据流转仍在网信、行业主管部门的监管视野内；二是产品化不能洗白数据来源，未经授权的人脸、语音素材加工成的数据产品照样侵权；三是跨区经营企业要注意海南政策与注册地监管要求的衔接，避免套利式架构被认定规避监管。

广东华商律师事务所潘杰峰律师点评

海南"来数加工"的可贵之处，是把数据跨境从"能不能出"的审批问题，转化为"怎么出"的工程问题，这对卫星遥感、AI训练数据等高价值赛道是实质性利好。但我提醒企业两点：第一，不要把推介会政策当作豁免承诺，每一笔再出境业务仍要落到具体路径上，评估、合同、认证或负面清单报备四选一必须走完；第二，引入境外数据时的来源合法性审查，法律风险在引入那一刻就已经产生，等产品出海时再补授权往往为时已晚。建议企业把海南通道与自身业务架构做一次合规匹配评估。

FAQ

Q1：境外数据进入海南加工，需要向网信部门申报吗？

A：境外数据"入境"本身不属于数据出境安全评估的范围，但涉及中国自然人个人信息回流、重要数据或行业敏感领域（如测绘地理信息）的，应履行相应个人信息保护与行业监管义务。加工后再出境的环节，才进入出境三路径或负面清单管理的范畴。

Q2：在海南完成脱敏加工的数据产品，再出口还需要评估吗？

A：取决于产品是否仍构成个人信息或重要数据。真正完成不可逆脱敏、聚合、无法还原到特定个人的数据产品，一般不再落入个人信息出境评估范围；但中间数据、可还原数据仍按原始数据规则处理。建议对脱敏标准与还原可能性做技术论证并留存记录。

Q3：企业不在海南注册，能利用"来数加工"通道吗？

A：可以在海南设立加工载体或与区内机构合作，但主体资质、报备义务与监管衔接应与实际经营安排一致。单纯借壳套用便利政策、实际数据流转与报备内容不符的架构，存在被认定规避监管的风险，落地前建议做合规架构设计。