上海数据出境负面清单首单获批：企业如何用好政策红利

上海数据出境负面清单从自贸区扩围至全市后，首个区级适用批复在长宁区落地：国际酒店品牌的会员个人信息跨境同步，通过负面清单机制实现了免予安全评估、标准合同备案或保护认证的便利出境。对服务业企业而言，这意味着合规成本和时间成本显著降低，但前提是企业必须准确识别数据类型、严格匹配负面清单场景、完整履行告知同意等基础义务。

一、负面清单机制到底“负”在哪里？

理解负面清单，关键是把握“清单之外即自由、清单之内按规则”的逻辑。根据《促进和规范数据跨境流动规定》，自贸试验区（及扩展至全市的试点区域）可在国家数据分类分级保护制度框架下，自行制定需要纳入数据出境安全评估、个人信息出境标准合同、个人信息保护认证管理范围的数据清单；负面清单外的数据出境，可免予上述三条路径。

上海2025版负面清单覆盖四大行业：再保险、国际航运、商贸（零售与餐饮业、住宿业）、气象。以雅华酒店所在住宿业为例，会员注册信息、会员权益同步等场景下的特定数据项，若落在负面清单外，企业即可依法有序跨境流动；若涉及负面清单内的敏感字段或重要数据，则仍需按对应路径履行合规程序。

这一机制的核心价值在于“场景化、字段级”管理。企业可以先做数据映射，把字段逐项对照清单，再决定走哪条路径。

二、酒店会员数据出境，为什么能走负面清单？

雅华酒店的案例具有典型意义。国际酒店集团通常采用全球统一的会员管理系统，境内酒店收集的会员姓名、联系方式、会员等级、积分等信息需要同步至境外总部系统，以便实现全球会员权益一致性。这类数据出境具有以下特征：

• 场景明确：属于“会员管理”这一具体业务场景；
• 字段相对固定：主要是身份信息、联系方式、会员权益数据，而非大规模敏感个人信息或重要数据；
• 授权链条清晰：会员在注册时已被告知个人信息可能用于集团全球会员服务，具备告知同意基础。

正是这些特征使其能够匹配负面清单中的商贸（住宿业）场景，从而适用便利化出境规则。但需要强调的是，负面清单便利并不等于完全免责。企业仍需履行《个人信息保护法》下的告知同意义务、开展个人信息保护影响评估、与境外接收方约定数据保护责任、采取必要安全技术措施，并按要求向监管部门报告使用情况。

三、企业如何申请适用负面清单？

结合长宁区服务中心的操作经验和上海版负面清单管理办法，企业申请适用负面清单可分为四步：

第一步：数据分类分级与场景识别。 企业需梳理拟出境的数据字段、出境目的、接收方、使用范围，判断数据是否属于个人信息、敏感个人信息或重要数据，并对照负面清单确认所处行业领域和具体场景。

第二步：准备申请材料。 通常包括企业基本信息、数据出境场景说明、拟出境数据清单、安全保障措施、境外接收方情况、告知同意证据、个人信息保护影响评估报告等。

第三步：向所在区提交备案申请。 上海企业向注册地所在区数据跨境服务中心提交申请，由区级初审后报送市级网信部门审核。

第四步：获批后持续合规。 企业需留存出境日志，出境情况变化时及时更新备案，发生安全事件立即补救并报告，每年年底报送当年度出境总体情况。

四、哪些企业适合优先考虑负面清单？

负面清单最适合出境数据量大、场景重复、字段相对标准化的企业，例如：跨国零售和餐饮企业的会员数据同步、国际航运企业的船员和物流数据交换、酒店集团的全球预订和会员管理、再保险公司的理赔数据流转等。

对于数据类型复杂、涉及重要数据或大规模敏感个人信息的企业，负面清单可能仅覆盖部分字段，其余数据仍需走安全评估、标准合同或认证路径。因此，建议企业先做完整的数据出境合规评估，再决定哪些走负面清单、哪些走常规路径，避免“误用清单”导致合规风险。

---

广东华商律师事务所潘杰峰律师点评

广东华商律师事务所潘杰峰律师提醒：长宁区首单获批是上海数据出境负面清单扩围全市后的重要落地信号，说明政策已经从“纸面”走向“实操”。对大湾区企业而言，广东自贸试验区也已发布数据出境负面清单，覆盖智能装备制造业和个人征信服务业，企业应主动研究属地清单和“一地制定、多地适用”规则。需要强调的是，负面清单是“程序简化”而非“义务免除”，告知同意、安全评估、影响评估、日志留存等基础合规要求依然刚性。建议有跨境数据需求的企业尽早开展数据分类分级，建立出境数据台账，并在申报前由律师审核授权文本和材料逻辑。

FAQ

Q1：负面清单外的数据出境，真的完全不用任何手续吗？

A：负面清单外的数据出境可免予申报安全评估、订立标准合同、通过保护认证，但企业仍需履行告知同意义务、开展个人信息保护影响评估、采取安全技术措施、留存出境日志、向监管部门报告使用情况等。

Q2：不在上海的企业，能适用上海的负面清单吗？

A：原则上，上海版负面清单适用于在上海市注册且在上海市开展数据出境活动的数据处理者。其他地区企业应关注所在省市的自贸试验区（港）负面清单政策。根据“一地制定、多地适用”原则，若其他地区已发布相同领域的负面清单，企业可参照执行。建议企业咨询属地网信或数据部门，确认具体适用规则。

Q3：如何判断自己的数据出境是否需要走安全评估？

A：根据《数据出境安全评估办法》和《促进和规范数据跨境流动规定》，关键信息基础设施运营者向境外提供个人信息或重要数据，以及其他数据处理者向境外提供重要数据、或自当年1月1日起累计向境外提供100万人以上个人信息（不含敏感个人信息）或1万人以上敏感个人信息的，应当申报安全评估。属于负面清单外的数据出境，可免予安全评估；但涉及重要数据的，无论是否在清单外，都须严格评估。