数据出境合规为什么要算“双向账”？三条路径与六步清单

企业出海的数据合规是一笔双向账：境内出境程序只是通行证的一半，境外接收方的处理行为与东道国本地法要求是另一半，只做前者等于把风险留在合同之外。对绝大多数中国企业，落地路径是先在《个人信息保护法》第三十八条的三条路径中选定一条，再用合同把境外接收方的义务、再传输限制、数据主体权利响应机制固定下来。APEC框架下的认证不能替代中国的出境合规，中国的标准合同备案也不能替代东道国的本地要求。

一、三条法定路径的适用门槛

《个人信息保护法》第三十八条规定了向境外提供个人信息的合法条件，实务中常用三条：通过国家网信部门组织的安全评估、经专业机构进行个人信息保护认证、按国家网信部门制定的标准合同与境外接收方订立合同。三条路径是并列关系，企业择一适用即可，但选错会直接导致整条出境链路缺乏合法性基础。

安全评估。 按《促进和规范数据跨境流动规定》，关键信息基础设施运营者向境外提供个人信息或者重要数据，以及关键信息基础设施运营者以外的处理者自当年1月1日起累计向境外提供100万人以上个人信息（不含敏感个人信息）或者1万人以上敏感个人信息，应当申报安全评估。这里的关键是“累计”二字——不是单次传输量，而是当年1月1日起的合计量，跨部门、跨系统的传输要合并计算。

标准合同与认证。 适用于未达到上述门槛的出境活动。标准合同门槛最低、周期最短，但备案是强制动作，签了不备案等于没做。认证适合集团内部关联公司之间的长期、高频传输，一次认证可覆盖多个接收方，综合成本更低。

豁免情形。 规定列得很具体：为订立、履行个人作为一方当事人的合同所必需（跨境购物、跨境寄递、跨境支付、机票酒店预订、签证办理等），按依法制定的劳动规章制度和依法签订的集体合同实施跨境人力资源管理所必需，紧急情况下为保护自然人生命健康和财产安全所必需，以及非关键信息基础设施运营者自当年1月1日起累计向境外提供不满10万人个人信息且不含敏感个人信息的，可免予申报。

| 路径 | 适用门槛 | 主要成本 | 常见误用 |

|---|---|---|---|

| 安全评估 | 关基运营者出境；100万人以上个人信息或1万人以上敏感个人信息 | 申报周期长、材料多 | 拆分传输规避累计计算 |

| 标准合同备案 | 未达评估门槛 | 合同文本合规＋备案 | 签了合同但未备案 |

| 个人信息保护认证 | 未达评估门槛，适合集团内部长期传输 | 认证费用与年度监督 | 以为认证可覆盖全部场景 |

| 豁免 | 逐项对应具体场景 | 低 | 拿豁免当默认值，超出场景仍援引 |

很多企业的错误是拿“豁免”当默认值。豁免条款逐项对应具体场景，超出场景即失效。跨境电商把用户行为数据拿去做广告建模，就不再是“履行合同所必需”；把员工数据用于集团人才盘点、绩效模型训练，也不再是“跨境人力资源管理所必需”。

二、只做境内申报够不够？

不够，这是本文最想强调的一点。

境内合规解决的是“能不能出去”，解决不了“出去之后怎么办”。而《个人信息保护法》第三十八条要求的是“保障境外接收方处理个人信息的活动达到本法规定的个人信息保护标准”，这是一项结果义务，不是程序义务。翻译成白话：数据到了境外，保护水平不能掉下来。

落地手段只有合同和技术两条。合同层面至少写清五件事：处理目的与方式的限定、保存期限与删除义务、再传输的书面同意机制、安全事件的通知时限（通常约定不超过24小时并配合境内主体的报告义务）、数据主体权利请求的转递与响应流程。技术层面是加密传输、访问审计、去标识化。

第三十九条还有一项容易被漏掉的独立义务：向境外提供个人信息，应当向个人告知境外接收方的名称或姓名、联系方式、处理目的、处理方式、信息种类，以及个人向境外接收方行使权利的方式和程序，并取得个人的单独同意。单独同意意味着不能混在隐私政策的概括同意里，必须是独立、显著、可拒绝的授权动作。这一条在监管检查和诉讼中都是高频失分点。

三、匿名化处理能不能绕开申报？

理论上能，实务上难。《个人信息保护法》第七十三条对匿名化的定义是“个人信息经过处理无法识别特定自然人且不能复原的过程”，匿名化后的信息不属于个人信息，自然不适用出境的三条路径。

问题在于举证。去标识化不等于匿名化。 去标识化只是让信息在不借助额外信息的情况下无法识别特定自然人，只要还存在重识别的可能，就仍在个人信息范畴内。企业主张已完成匿名化，需要拿出可验证的技术方案与重识别风险评估，而不是在文件里写一句“已脱敏”。

这也是各地探索“个人信息匿名化应用试点”的现实背景——匿名化一旦形成可验证的标准，跨境合规成本会实质下降。但截至目前，它仍是试点，不是可以普遍援引的通道。

四、自贸区负面清单是豁免清单还是许可清单？

这个问题直接决定企业该如何使用这张清单。答案很明确：负面清单是豁免清单，不是许可清单。

以广东自贸试验区的实践为例，清单列明需要纳入管理的数据出境情形，清单之外的场景则免予申报安全评估、免予订立标准合同、免予认证。理解这一点，企业的动作就完全不同：不需要为清单外场景去申请许可，而是要为“落入清单外”这个判断保留证据。

同时有三条法定边界不能突破。第一，制定主体限于自贸试验区所在省级层面，不是任何园区都能自行发布；第二，清单须按程序报批备案；第三，豁免范围仅限清单外的出境活动，涉及重要数据、核心数据的出境不因清单而改变规则。

更重要的是，豁免的是程序，不是实体义务。即便落入清单外，告知、单独同意、个人信息保护影响评估这三项义务仍然存在。把负面清单理解成“免死金牌”，是这类政策落地中最常见的误读。

五、企业最常犯的五个错误

1. 拆分传输以规避门槛。 把一次百万级的传输切成若干次小额传输，属于典型的规避行为，累计计算规则直接封堵这条路。
2. 合同签了不备案。 标准合同的备案是生效条件，不是后续手续，签完不备案在监管眼里等于未选择该路径。
3. 用隐私政策的概括同意替代单独同意。 涉及出境、敏感信息、向第三方提供这三类场景，必须是独立授权动作。
4. 把境外关联公司当自己人。 集团内部传输同样是跨境提供，除了可援引人力资源管理豁免的情形外，程序义务一样不少。
5. 申报材料做完就归档。 业务扩张会把某个原本未达门槛的场景推过线，出境合规必须按年复查，而不是一次申报管终身。

六、六步落地清单

1. 画一张数据出境地图。 列出所有跨境传输场景、数据种类、接收方、传输路径与技术方式。
2. 逐场景匹配路径。 豁免、标准合同、认证、安全评估四选一，写明理由并留档，避免“都用标准合同”的一刀切。
3. 未达门槛的补做标准合同备案，备案编号纳入年度合规台账。
4. 在合同中补齐三项核心条款：再传输限制、安全事件通知时限、数据主体权利响应流程。
5. 对敏感个人信息出境单独取得书面同意，与隐私政策中的概括同意物理分离，并保留授权记录。
6. 每年做一次出境场景复盘，重点核查业务扩张是否已把某场景推过申报门槛。

广东华商律师事务所潘杰峰律师点评

企业在数据出境上最常见的误判，是把合规当成一次性的申报动作——申报批下来就认为事情结束了。但从监管逻辑看，申报只是入口，真正被追责的往往发生在出境之后的环节：境外接收方把数据用于约定之外的用途、再传输给第三方未告知、数据主体要求删除却无人响应。这些问题的根源不在申报材料，而在合同条款和技术措施。我的建议是，把数据出境合规的重心从“拿批文”转到“管链条”，尤其是与境外关联公司之间的传输，别因为是自家公司就省掉合同。另外提醒一点，跨境人力资源管理是很多企业援引豁免的场景，但该豁免限于按依法制定的劳动规章制度和依法签订的集体合同实施所必需，把员工数据用于集团人才盘点、绩效考核以外的商业用途，豁免立即失效。以上分析基于现行规范与公开政策口径，具体场景适用仍需结合业务实质判断，建议另行取得专项法律意见。

FAQ

问：只向境外提供不满10万人个人信息，是不是完全不用管了？

答：可以免予申报安全评估、订立标准合同和进行认证，但另外三项义务仍然存在：向个人告知境外接收方的相关信息并取得单独同意；开展个人信息保护影响评估并留存记录；保障境外接收方的处理活动达到《个人信息保护法》规定的保护标准。豁免的是程序，不是实体义务。

问：集团内部中国子公司向境外母公司传员工数据，要走哪条路径？

答：先看是否符合“按依法制定的劳动规章制度和依法签订的集体合同实施跨境人力资源管理所必需”的豁免条件。符合则免予申报，但仍需履行告知与单独同意义务。不符合（例如用于集团统一的人才库、绩效模型训练），则应结合人数与信息类型，选择标准合同备案或个人信息保护认证。集团内部传输建议优先考虑认证，一次覆盖多个接收方。

问：自贸区负面清单之外是不是就不用做任何事了？

答：不是。清单解决的是三条程序路径的豁免，不涉及实体义务。落入清单外仍需履行告知与单独同意、开展个人信息保护影响评估，并确保境外接收方的处理活动达到法定保护标准。同时，涉及重要数据、核心数据的出境不因清单而豁免，仍应按数据分类分级要求处理。