【摘要】
只要企业有国际业务、有境外客户、有外资股东、有海外分支，就几乎一定会遇到一个问题：数据能不能传出去？怎么传才合规？
“数据出境”不是一个抽象概念，它具体包括：把境内收集的数据传输到境外、存储在境外服务器、允许境外机构或个人（含境外母公司、境外服务商）访问境内数据。
其中最后一条最容易被忽略：“境外主体可以远程访问”也可能构成数据出境——即便数据物理上没有离开境内。
合规的路径有三条：安全评估、个人信息保护认证、订立标准合同。 选哪一条，取决于数据性质（是否含重要数据）、个人信息数量、以及出境场景。
对企业来说，难点不在”知道有三条路”，而在三件事：
一是”知道自己有什么数据”（数据盘点）；
二是”判断该走哪条路”（性质与数量判断）；
三是”把证明材料准备好”（数据清单、影响评估、合同条款）。
本文梳理数据出境的基本规则、三条路径的选择逻辑、安全评估的适用情形与流程、企业常见场景、材料准备与常见误区。附 2 张表。
一、先弄清：什么算”数据出境”
数据出境的常见形态有五类：
第一类，物理传输。 把境内数据传输至境外服务器或境外机构。
第二类，境外存储。 使用境外云服务，数据实际存储在境外。
第三类，境外访问。 境内数据存放在境内，但境外主体可以查询、下载、分析——这是最容易被忽略的一类。
第四类，跨境提供。 向境外客户、境外合作方提供数据。
第五类，再转移。 境外的接收方再将数据转移到第三国。
判断的关键不是”数据在哪里”，而是”境外主体能不能接触到”。 按这条标准，很多企业的业务其实已经涉及数据出境，只是未被识别出来。
常见的高频场景：跨国公司人力资源管理（总部查看员工信息）、全球售后系统（境外工程师查看设备与客户信息）、用境外云服务、向境外客户提供数据服务、境外科研合作。
二、三条路径与选择逻辑
| 路径 | 适用情形（概括） | 企业主要动作 | 主要成本 |
|---|---|---|---|
| 数据出境安全评估 | 涉及重要数据出境；或出境个人信息达到规定数量；或关键信息基础设施运营者出境个人信息 | 开展自评估、申报评估、配合审查 | 周期较长、材料要求高 |
| 个人信息保护认证 | 符合规定情形的个人信息出境 | 通过专业机构认证 | 认证与维护成本 |
| 订立标准合同 | 符合规定情形的个人信息出境 | 与境外接收方签订标准合同并备案 | 合同与备案成本 |
表格说明：以上为路径概览，具体适用条件、数量门槛、豁免情形与程序要求以现行规定为准。
选择的基本判断顺序是三步：
第一步，判断是否涉及重要数据。 涉及重要数据的，通常需要走安全评估。
第二步，判断是否为关键信息基础设施运营者。 是，则出境个人信息通常需要安全评估。
第三步，判断个人信息数量是否达到门槛。 达到的走安全评估；未达到的，可在认证与标准合同之间选择。
特别提示：现行规定对部分场景设置了豁免或便利安排（如不涉及重要数据、个人信息数量未达标准的某些业务场景）——企业在判断前，应先核对最新规定中的豁免情形，避免”过度合规”增加成本。
三、安全评估的流程与要点
基本流程：
第一步，开展数据出境风险自评估。 重点评估：出境的合法性、正当性、必要性；数据种类与敏感程度；境外接收方的保障能力；数据出境后可能造成的风险。
第二步，申报。 通过规定的申报渠道向主管部门提交评估申报材料。
第三步，受理与审查。 主管部门组织评估，企业配合补充材料。
第四步，获得评估结果。 评估通过后，按批准的范围与期限开展数据出境。
第五步，持续合规。 发生情形变化（如出境目的、范围、接收方变化）时，需重新评估或申报。
材料要点通常包括：
- 数据出境的种类、数量与敏感程度说明
- 数据出境的合法性、正当性、必要性说明
- 境外接收方的数据安全保护能力与保障措施
- 法律文件（合同或其他具有法律约束力的文件）
- 风险自评估报告
一条提醒：“必要性”是被反复追问的问题——为什么必须出境、能不能在境内处理、能否脱敏后出境。 这些问题答不实，材料很难通过。
四、企业的四类典型场景
场景一，跨国集团人力资源管理。 境外总部查看境内员工信息，是外资企业与跨国经营企业最常见的数据出境场景。
场景二，全球售后服务。 境外服务人员需查看设备运行数据、客户信息与工单记录，可能同时涉及个人信息与工业数据。
场景三，使用境外云服务与软件。 境外 SaaS 服务、境外云存储、境外协作工具，数据可能被境外服务商访问。
场景四，向境外客户提供数据服务。 以数据服务为业务的数字贸易企业，数据出境是业务本身的组成部分。
这四类场景的共同处理思路是三步：先做数据盘点（有哪些数据、哪些流向境外）→ 再判断路径 → 然后落实合同与评估。
五、企业该怎么准备：五步
第一步，画数据地图。 梳理数据的种类、存放位置、处理方、流向与接收方。 这是所有后续工作的起点。
第二步，做分类分级。 识别个人信息、敏感个人信息与重要数据，明确哪些数据涉及出境。
第三步，判断路径。 按”重要数据 → 关基运营者 → 个人信息数量”的顺序判断适用路径与豁免情形。
第四步，落实法律文件与保障措施。 与境外接收方签订数据保护协议或标准合同，明确数据范围、使用目的、保存期限、安全措施、再转移限制与违约责任。
第五步，留存与更新。 数据清单、影响评估报告、合同文本、同意记录全部归档；业务或接收方变化时及时更新。
一条实务建议：把”数据出境”纳入合同审批流程——凡涉及境外接收方的合同，自动触发数据出境审查。 这样既不漏项，也不需要靠人工记忆。
六、常见误区
误区一：”数据没出国就没事。” 境外主体远程访问同样可能构成出境。
误区二：”只有大企业才涉及。” 使用境外云服务、有境外客户的中小企业同样可能涉及。
误区三：”签了合同就合规了。” 合同只是路径之一，涉及重要数据或达到数量的，仍需评估。
误区四：”做一次就永久有效。” 出境目的、范围、接收方变化时需要重新评估或申报。
误区五：”为了合规，干脆什么都不传。” 过度限制会影响正常经营，更重要的是按规则设计合规路径。
七、能力自测：六个问题
- 是否梳理过哪些数据会被境外主体接触（含远程访问）？
- 业务数据中是否包含个人信息、敏感个人信息或重要数据？
- 是否使用境外云服务、境外软件或境外协作工具？
- 与境外接收方是否签订了数据保护相关条款？
- 是否判断过适用的路径（评估/认证/标准合同）及豁免情形？
- 数据出境相关材料（清单、评估、合同）是否归档并动态更新？
第 4 题回答”合同里没写”，就是最需要立即补上的地方。
八、判断路径的三个层次
数据出境路径的判断，可以按三个层次递进：
| 层次 | 判断内容 | 判断结果 | 后续动作 |
|---|---|---|---|
| 第一层 | 是否涉及重要数据 | 涉及 → 通常需安全评估 | 准备评估申报材料 |
| 第二层 | 是否为关键信息基础设施运营者 | 是 → 出境个人信息通常需安全评估 | 按评估路径办理 |
| 第三层 | 个人信息数量是否达到规定门槛 | 达到 → 安全评估；未达到 → 认证或标准合同 | 选择适用路径 |
| 补充判断 | 是否属于规定的豁免或便利情形 | 属于 → 按相应安排处理 | 留存判断依据 |
这张表的实际价值在于”避免两个极端”：一是”什么都不管”（漏项风险），二是”一律按最严路径办”（过度合规、增加成本）。
建议把判断过程书面化：谁判断的、依据什么、结论是什么、什么时候复核。 这份记录本身就是合规证据。
九、合同条款怎么写
与境外接收方签订的协议（或标准合同）中，以下条款最需要明确：
第一，数据范围。 明确哪些数据、多少数量、什么类型——“全部业务数据”这类模糊表述会产生风险。
第二，处理目的与方式。 境外接收方只能按约定目的处理，不得超范围使用。
第三，保存期限与删除义务。 约定期限届满或合作结束后，接收方应删除或返还数据。
第四，安全措施。 明确应采取的加密、访问控制、审计等措施的最低要求。
第五，再转移限制。 接收方再向第三方或第三国转移，需事先获得同意。
第六，事件通知。 发生数据泄露等安全事件时，接收方应在约定时限内通知。
第七，审计与配合。 企业有权对接收方的合规情况进行核实。
第八，违约责任与解除。 明确违反数据保护义务的后果与合同解除权。
这八条构成了数据出境合同的”基本骨架”。实务中最常被忽略的是”删除义务”与”再转移限制”——这两条恰恰是数据出境风险的主要来源。
十、数据分类分级是评估的前提
安全评估不是”填表游戏”，评估机构首先要看的是：你出境的到底是什么数据。所以分类分级是前置工作。
| 数据类别 | 典型内容 | 出境风险等级 | 可能触发的路径 |
|---|---|---|---|
| 重要数据 | 涉及国家安全、公共利益的数据 | 高 | 安全评估 |
| 个人信息（敏感） | 生物识别、医疗健康、金融账户 | 高 | 安全评估或标准合同 |
| 个人信息（一般） | 姓名、联系方式 | 中（按数量） | 标准合同或认证 |
| 企业经营数据 | 订单、库存、非敏感报表 | 低 | 通常可自由流动 |
分类分级没有做到位，会导致两种错误：一是把低风险数据当高风险报，白白消耗时间；二是把高风险数据当低风险放行，埋下合规隐患。建议企业先建立”数据资产台账”，逐项标注类别、来源、数量、接收方，再判断出境路径。
十一、评估未通过怎么办
安全评估未通过并不意味着业务停摆，关键是找到”替代方案”。
| 未通过原因 | 补救方向 | 操作要点 |
|---|---|---|
| 数据范围界定不清 | 重新梳理数据台账 | 明确”哪些必须出境、哪些可以留在境内” |
| 接收方保护能力不足 | 更换或补充合同条款 | 约定审计权、安全事件通知义务 |
| 出境必要性论证不足 | 补充业务必要性说明 | 说明不出境对业务的实质影响 |
| 安全措施不到位 | 加密、去标识化改造 | 对敏感字段做脱敏处理 |
一个常见的思路是”能不出境就不出境”：把数据处理放在境内完成，只把结果传出去；或者用隐私计算、联邦学习等技术，实现”数据可用不可见”。这些方案虽然在技术上更复杂，但往往能从根本上降低合规成本。
十二、FAQ
问：境外母公司查看境内员工数据，需要办手续吗？
可能构成数据出境。 是否需要评估或采用其他路径，取决于是否涉及重要数据、个人信息数量与具体场景。 建议先做数据盘点，再按现行规定判断。
问：使用境外云服务算数据出境吗？
如果数据存储在境外，或境外主体可以访问，通常会被认定为数据出境。 具体判断需结合服务架构与访问权限。
问：三条路径可以同时用吗？
可以按不同业务场景分别采用不同路径，例如部分场景订立标准合同、部分场景申报评估。 关键是每一类出境活动都有明确、可核查的合规依据。
本文涉及的数据出境规则、数量门槛与申报程序，均以主管部门最新规定为准。
十三、行动建议：三步
第一步，画数据地图。 梳理数据种类、流向与境外接收方，识别真正涉及出境的场景。
第二步，判断路径。 按”重要数据—关基—个人信息数量”顺序判断适用路径与豁免情形。
第三步，落实文件与归档。 完善合同条款与影响评估，建立材料归档与动态更新机制。
如需了解数据出境路径判断、安全评估申报材料准备与合同条款设计，可结合业务场景进一步沟通。
延伸阅读
本文涉及的政策名称、申报时间与奖补金额，均以官方最新发布为准；文中不确定项已作标注。
发表回复