🌐 数据出境合规怎么做——三条路径与评估流程

1 什么算数据出境，很多企业判断错了

《数据出境安全评估办法》和《个人信息出境标准合同办法》定义的出境，指的是数据处理者向境外提供在境内运营中收集和产生的数据。这个定义比多数人想的宽。

几种容易被忽略的情形：

集团内部共享也算。境内子公司把员工数据传输给境外母公司的人力系统，即使没有对外提供，也构成出境。

境外可直接访问也算。数据存在境内服务器上，但境外团队有账号能直接查询，同样视为出境。这一条在跨国企业的共享服务中心场景里很常见。

使用境外服务商也算。用境外邮件服务、境外 CRM、境外客服系统，数据落到境外服务器上，就是出境。很多企业用着海外 SaaS 却没想到这一层。

境外中转也算。数据经境外节点中转再回到境内，中间环节已构成出境。

2 三条合规路径怎么选

现行框架下有三条路径：安全评估、标准合同、个人信息保护认证。选哪条取决于数据性质、数量和主体类型。

数量阈值按累计计算。个人信息出境达到规定人数标准的，走安全评估。需要注意的是，阈值按自然年内累计，不是按单次计算，很多企业年中才发现已经超标。

另外，涉及重要数据的出境一律走安全评估，没有例外。重要数据的认定依据行业目录，自贸区有负面清单机制的按清单执行。

3 安全评估的实操流程

第一步，自评估。这是申报的前置条件，要形成书面自评估报告。重点评估三件事：出境数据对国家安全、公共利益的影响；境外接收方的安全保障能力；双方法律责任是否清晰。

第二步，准备申报材料。通常包括申报书、自评估报告、与境外接收方签订的法律文件、数据安全管理制度、出境数据清单。材料要求细致，出境数据清单要说明字段、数量、敏感程度、出境方式、存储位置。

第三步，省级网信部门受理与转报。材料先提交省级网信部门，形式审查通过后报国家网信部门评估。形式审查会退不符合要求的材料，来回一轮通常要一个月以上。

第四步，评估与反馈。评估机构会核查材料真实性，可能要求补充说明或约谈。评估结论有效期通常为两年，到期需重新申报。

第五步，持续合规。评估通过不是终点。出境目的、范围、方式发生变化，或境外接收方所在国法律环境发生变化的，要重新评估。建议建立台账，跟踪每次变化。

4 配套的技术措施

合规文件是基础，但监管检查时会看技术措施是否真的落地。几项必要的能力。

5 五个常见误区

误区一，以为签了合同就合规。标准合同只是三条路径之一，且仅适用于未达安全评估门槛的情形。达到门槛的必须走评估，签多少合同都不算。

误区二，以为数据不出服务器就没出境。境外账号能远程访问、境外团队能查询，都构成出境。判断依据是「境外主体是否获得数据」，不是「数据是否离开机房」。

误区三，以为员工数据不受约束。员工个人信息同样是个人信息。跨国集团把员工数据集中到境外 HR 系统，属于个人信息出境，需要履行相应程序。

误区四，以为评估一次管终身。评估结论有有效期，且业务变化要重新申报。很多企业评估通过后就放松管理，第二年新增业务直接违规。

误区五，以为只有互联网企业受影响。制造业的设备远程运维、外贸企业的海外客户系统、跨境电商的订单数据、科研机构的国际协作，都涉及数据出境。

6 从哪开始：四周起步计划

第一周，摸清出境场景。访谈各业务部门，列出所有涉及境外系统、境外团队、境外服务商的数据流。重点问三个问题：数据存哪、谁能访问、走什么通道。

第二周，判定路径。按数据性质（是否重要数据）和数量（个人信息出境人数）判断该走哪条路径。判断依据要留书面记录，便于后续说明。

第三周，做减法。能本地化的先本地化，能脱敏的先脱敏，能减少字段的先减少。出境数据量降下来，合规成本和风险同步下降。

第四周，启动正式流程。需要评估的准备申报材料，走标准合同的启动备案。同时把技术措施落地：统一通道、脱敏、审计留痕。

7 云上可用的数据安全能力

选产品前先完成数据资产梳理，否则工具扫描出来的结果无法和业务对应，也没法编制出境清单。工具解决的是效率问题，判断仍需要人来定。