专用链路等于出境通行证吗？跨境专线的合规边界
国际数据中心是"合规通道"，不是"合规豁免"。 厦门这份办法用一句话划清边界：专用链路解决"管道合法性"，安全评估解决"数据能不能出去"，两…
国际数据中心是"合规通道"，不是"合规豁免"。 厦门这份办法用一句话划清边界：专用链路解决"管道合法性"，安全评估解决"数据能不能出去"，两者不是替代关系。企业即便接入国际数据中心的跨境专用链路，只要出境的是重要数据或达到申报条件的个人信息，依然要先过安全评估。更需注意的是办法禁止的三种连接方式——私搭VPN、隧道技术、非法经营的国际专线，这恰是不少出海企业过去默认的"技术变通"。
一、"专用链路"到底解决了什么？
长期以来，跨境数据合规存在一个错位：法律要求企业"依法有序自由流动"，但企业面对电信资源、网络架构、监管接口三重现实约束。实践中出现两种典型误区：
误区一：把专线当"免检证明"。 认为只要走的是合法运营商专线，数据出境就天然合规。这是把"传输通道合法"与"数据处理合法"混为一谈。《数据出境安全评估办法》《个人信息出境标准合同办法》以及2024年3月施行的《促进和规范数据跨境流动规定》所规范的，是数据本身的出境行为，与用什么管道传输无关。厦门办法的表述很明确：重要数据出境、达到法定申报条件的个人信息出境，必须通过安全评估。
误区二：把VPN当"技术方案"。 不少企业以"技术测试""远程运维""内部组网"为名自行搭建跨境VPN或隧道，这在电信监管上属于未经批准擅自建立、使用跨境信道，与数据出境合规是两套不同的违法构成。厦门办法明确禁止私自通过VPN、隧道技术连接海外节点，实际上把电信监管与数据监管在同一份文件里打通了。
专用链路真正解决的，是让跨境数据流动进入可识别、可审计、可追溯的监管视野。办法还要求跨境数据传输采用符合国家密码管理要求的加密技术和协议，建立由网信、数据、通信管理、发改、工信、商务、外办、公安等部门按职责分工的运营协调机制，并设置业务熔断机制。这套设计的核心是"看得见"。
二、哪些数据能走？哪些必须绕道？
办法要求按国家及行业标准对数据分类分级，实务中可分为四层判断：
第一层，法律明确要求境内存储的数据——绝对禁止出境。 包括《网络安全法》第三十七条对关键信息基础设施运营者收集和产生的个人信息和重要数据的原则性要求，《个人信息保护法》第四十条对关键信息基础设施运营者、处理个人信息达到国家网信部门规定数量的处理者要求境内存储、确需出境应通过安全评估的规定，以及汽车数据、测绘地理信息等行业特别规定。这类数据无论走什么通道都不能出去。
第二层，重要数据——必须申报安全评估。 难点不在程序而在识别。很多企业认为自己"不掌握重要数据"，但依据《数据安全法》第二十一条及各地已公布的重要数据目录，行业数据、地理信息、供应链数据、大规模人口相关统计信息都可能被认定。企业需保留分类分级的书面依据。
第三层，达到法定申报条件的个人信息——申报评估、订立标准合同或做保护认证。《促进和规范数据跨境流动规定》设置了多项豁免情形（如订立履行合同所必需、人力资源管理所必需、紧急情况下保护生命健康等），并对数量阈值作了调整。这些是实质性的合规红利，但适用前提是能够举证证明"符合豁免情形"，而非笼统援引。
第四层，其余低风险数据——在履行内部管理义务后流动。 需留存数据出境记录，并完成个人信息保护影响评估（《个人信息保护法》第五十五条要求向境外提供个人信息前应进行影响评估）。
三、企业最容易踩的三个坑
坑一：把"来数加工"当成数据入境的免申报理由
办法把来数加工、跨境电商、跨境结算、游戏服务、远程教育、远程医疗等列为重点业态。但"来数加工"通常意味着境外数据入境后在境内处理再出境，全流程都可能涉及个人信息与重要数据。加工完成后出境，同样要过前述四层判断，不能因"数据本来就在境外"而认为出境无需审查。
坑二：跨境远程运维的隐性数据流
出海企业最典型的隐性出境场景，不是业务数据回传，而是国内工程师远程登录海外系统排查故障。这个过程会形成日志、配置甚至用户数据的回传。建议在IT架构设计阶段就把"运维数据流"单独画出来，判断其中是否含个人信息或重要数据，并在供应商合同、员工授权书中明确访问权限与处理规则。
坑三：把加密当合规的全部
办法要求采用符合国家密码管理要求的加密技术和协议。加密解决传输过程的完整性与保密性，不解决"能不能出境"的合法性问题。把加密做好却不做评估，是典型的"技术合规替代法律合规"。
四、可落地的行动清单
- 做一张数据流向图。 以业务系统为节点，标注每类数据在哪里产生、存储、流向哪些国家和地区、经过哪些中间方。这是后续所有合规判断的基础。
- 完成分类分级并留痕。 对照《数据安全法》第二十一条、行业重要数据目录及本地网信部门指引，形成分类分级结论，写明判断依据与复核时间。
- 逐条对表豁免情形。 不要把"数据量小"当作豁免理由，应逐条核对《促进和规范数据跨境流动规定》的豁免情形并保存证明文件。
- 优先使用合规通道。 在厦门等试点地区，通过国际数据服务中心接入跨境专用链路，避免自行搭建VPN或租用来源不明的"国际专线"。
- 关注负面清单。 截至2026年，已有多个自贸试验区发布数据出境负面清单、覆盖数十个领域，企业应确认自身业务是否落入清单范围。
广东华商律师事务所潘杰峰律师点评
这份办法最有价值的地方，是把两件事合到一起说：跨境数据要合法，管道也要合法。我接触的出海企业里，最常见的两个动作恰恰相反——数据合规做得很细，网络却自己搭了VPN；或者专线是合法租的，数据出境评估一次没做。两种情形都属于"半程合规"，一旦被查，前半程的努力抵不了后半程的过错。需要特别提醒的是办法设置的业务熔断机制：监管可在风险严重时暂停或终止相关运营活动，这对依赖跨境数据流的业务是致命性的，等出事再补合规已经来不及。建议企业把数据流向图作为年度更新的固定动作，尤其是运维、售后这些"不产生业务收入但产生数据流动"的环节，往往才是真正的风险入口。具体出境路径与评估材料，建议潘律师审核确认后个案判断。
FAQ
问：通过国际数据中心的跨境专用链路传输数据，还需要做数据出境安全评估吗？
答：需要。专用链路解决传输通道的合法性问题，不能替代数据本身的出境合规义务。根据《厦门市国际数据中心管理办法（试行）》，重要数据出境以及达到法定申报条件的个人信息出境，必须通过数据出境安全评估；法律法规要求境内存储的数据不得通过专用链路直接出境。
问：企业自行搭建跨境VPN做内部管理，违法吗？
答：存在双重风险。一方面，未经批准擅自建立、使用跨境信道可能违反电信管理相关规定；另一方面，若通过该通道向境外提供个人信息或数据，还需另行履行《个人信息保护法》《数据安全法》项下的出境合规义务。厦门办法已明确禁止私自通过VPN、隧道技术或非法经营的国际专线连接海外节点。
问：跨境远程运维产生的数据流算数据出境吗？
答：很可能算。境外系统日志、配置信息、用户数据处理结果回传至境内或在境内被访问、查看，均可能构成《个人信息保护法》意义上的"向境外提供"。建议在架构设计阶段单列运维数据流，判断是否含个人信息或重要数据，并据此选择出境路径。
