未履行法定程序出境个人信息被通报：数据出境合规别再心存侥幸

数据出境合规的执法重点，已经从"有没有制度文本"转向"系统挡不挡得住、程序走没走"。深圳网信部门10月15日集中通报4起个人信息保护执法案例，其中一起企业因"未履行法定程序和义务出境个人信息"被责令改正并警告，其余三起全部落在技术层面：接口漏洞、数据库未加密去标识化、日志留存不完整。便利化政策降低了办事成本，但没有降低合规底线——出境前把"程序、技术、台账"三件事做实，才是过检的根本。

一、本案通报透露的执法逻辑

此次被通报的出境案有两个细节值得注意。其一，处罚事由是"未履行法定程序和义务出境个人信息"，也就是说，企业不是因为数据不能出境而被罚，而是因为该走的程序没走。按《个人信息保护法》第38条与《促进和规范数据跨境流动规定》，个人信息出境须对应三条法定路径之一：申报数据出境安全评估、订立个人信息出境标准合同并备案、通过个人信息保护认证；落入豁免情形的要有豁免依据与自查记录。跳过所有路径直接把数据传到境外系统，就构成"未履行法定程序出境"。

其二，处罚措施是责令改正加警告，未直接罚款。这符合当前"以整改促合规"的执法风格，但通报本身就是风险信号：同一违法行为在《个人信息保护法》第66条项下最高可处5000万元或上一年度营业额5%的罚款，警告是给整改窗口，不是处罚终点。企业若在被通报后仍未整改，情节将明显加重。

三条法定出境路径怎么选？

选择路径取决于三项事实：是否涉及重要数据、涉及多少自然人、接收方所在行业与场景。基本规则是：重要数据出境，或自上年1月1日起累计向境外提供100万人以上个人信息、1万人以上敏感个人信息的，须申报数据出境安全评估；10万人以上不满100万人个人信息的，走个人信息保护认证；不满10万人的，可订立标准合同并向省级网信部门备案。经自贸区负面清单、自贸港等区域安排豁免的，按对应备案程序操作。特别提醒：同一处理者、同一目的下的出境人数应当合并计算，通过数量拆分规避安全评估是监管明令禁止的行为。

二、技术缺陷为什么也在数据出境案里被点名？

这次通报的4起案件，处罚事由全部落在技术层面，形成一个清晰的执法逻辑：制度文本不能替代技术防护，而技术防护是出境合规的前置条件。《网络数据安全管理条例》对网络数据处理者的安全管理义务作了细化，出境数据如果连基本的技术措施都没有，出境行为本身就处于失控状态。

四类高频问题可直接对照自查：一是接口是否存在越权访问、任意文件读取等漏洞——这是数据"漏出去"的最常见通道；二是数据库是否落实去标识化、加密与备份——去标识化做得好，出境的敏感程度和合规负担都会下降；三是网络日志是否完整到能还原一次具体访问——出问题无法溯源，等于合规举证能力为零；四是出境通道是否走了法定程序——技术再好，程序缺失照样违法。通报中"制度虚置"的表述尤其值得警惕：制定了制度但未执行，与未制定制度在法律评价上并无区别。

三、企业自查清单：三张表管住出境数据

第一张：数据出境台账。按业务场景（而不是按IT系统）梳理，逐项列明字段、目的、接收方、所在国家、传输方式、涉及自然人数量、法律依据。这张表是选择出境路径的分岔点。

第二张：路径比对表。将台账逐项对照安全评估、标准合同、认证、豁免四类情形，得出结论并留档。已走标准合同或认证的，核对备案信息是否与实际业务一致——业务扩张后人数突破门槛的，要重新申报。

第三张：技术防护核验表。把渗透测试、等保测评、个人信息保护合规审计三份报告做成互相印证的一组材料，重点核验接口权限、数据库加密与去标识化、日志完整性三项。对外传输链路（API、SDK、第三方组件）单独列示，防止"影子通道"。

---

广东华商律师事务所潘杰峰律师点评

深圳这批通报最有价值的提示是：数据出境的执法已经细到接口漏洞和日志字段，"有制度、没落地"的企业恰恰是第一批被点名的对象。实务中我见过不少企业把出境合规当成"过一次评审"的一次性动作，但业务在长、系统在改，台账和路径判断必须随业务迭代更新。建议企业每年至少做一次数据出境专项审计，把程序合规和技术防护合并核验。另外，各地便利化政策（负面清单、全程网办、场景化指引）落地很快，符合条件的企业主动用政策通道，比事后补救成本低得多。

FAQ

问：只有少量用户数据传到境外服务器，也要走出境程序吗？

答：人数不满10万人且不属于重要数据的，一般可订立个人信息出境标准合同并备案；符合《促进和规范数据跨境流动规定》豁免情形的（如履行合同必需等），可豁免但应留存判断依据。完全不评估、不记录直接传输，仍有被认定违法的风险。

问：数据先在境内脱敏再出境，还需要出境合规吗？

答：要看脱敏是否达到匿名化标准。匿名化后的数据不属于个人信息，出境不再适用个人信息出境规则；但仅去标识化的数据仍可复原识别个人，仍属个人信息，出境程序不可省略。

问：被网信部门责令改正后该怎么应对？

答：立即停止违法行为、封堵漏洞，按整改通知逐项落实并书面报告；同时排查同类业务线是否存在相同问题，留存整改过程证据。整改彻底是企业避免后续罚款的关键。