关基运营者的数据团队常有侥幸心理：数据放在云上、节点遍布全球，「存储在哪」说不清楚——但网络安全法第三十九条对关基数据出境写的是硬规定：境内运营中收集和产生的个人信息和重要数据，应当在境内存储。出境不是默认选项，而是走安全评估的例外。2026 年写的这篇，把这一条和数据安全法第三十一条放在一起讲：存储义务覆盖谁、出境评估怎么走、跨境系统架构怎么改，一次讲透。
先看这三个要点
- 境内存储是默认态：关基运营者在境内运营中收集和产生的个人信息和重要数据应当境内存储——注意范围是两类数据都管，不只是重要数据。
- 出境走评估：因业务需要确需向境外提供的，按照国家网信部门会同国务院有关部门制定的办法进行安全评估；法律、行政法规另有规定的依照其规定。
- 数据安全法再锁一道：数据安全法第三十一条确认关基重要数据出境适用网络安全法，罚则上数据安全法第四十六条顶格一千万。
一、条文原文
- 《中华人民共和国网络安全法》第三十九条
- 关键信息基础设施的运营者在中华人民共和国境内运营中收集和产生的个人信息和重要数据应当在境内存储。因业务需要，确需向境外提供的，应当按照国家网信部门会同国务院有关部门制定的办法进行安全评估；法律、行政法规另有规定的，依照其规定。
- 《中华人民共和国数据安全法》第三十一条
- 关键信息基础设施的运营者在中华人民共和国境内运营中收集和产生的重要数据的出境安全管理，适用《中华人民共和国网络安全法》的规定；其他数据处理者在中华人民共和国境内运营中收集和产生的重要数据的出境安全管理办法，由国家网信部门会同国务院有关部门制定。
二、逐款拆解
「在境内运营中收集和产生」是范围关键词。判断标准看数据从哪来：关基在境内运营过程中收集的用户数据、业务数据，系统运行中产生的日志与衍生数据，全部落入存储义务；境外分支机构独立收集、不流入境内系统的数据另论。架构上的「说不清」在法律上是不利推定——存储位置不明，义务照样视为未履行。
「个人信息和重要数据」双覆盖。与一般企业不同，关基的存储义务同时管个人信息和重要数据两类：个人信息按个保法体系另有出境通道，但关基身份叠加时，先过网安法第三十九条这道总闸。重要数据按行业目录定性，进目录即受管控。
「确需向境外提供」是例外通道。「确需」意味着业务必要性要能论证：全球风控模型、跨境结算、国际业务协同属于典型场景；「境外总部要一份全量备份」这类便利性需求，很难论证为确需。走通道的按国家网信部门制定的办法申报安全评估，评估通过才能出境，且要在评估限定的范围内出境。
| 要件 | 内容 | 实务要点 |
|---|---|---|
| 义务主体 | 关键信息基础设施的运营者 | 以保护工作部门认定通知为准 |
| 数据范围 | 境内运营中收集和产生的个人信息＋重要数据 | 数据溯源定位，架构上确保存储位置可查 |
| 默认义务 | 应当在境内存储 | 境内数据中心落地，境外灾备节点剔除该类数据 |
| 例外通道 | 确需出境的按网信部门办法安全评估 | 业务必要性论证＋申报材料＋评估结论留存 |
| 法律衔接 | 法律、行政法规另有规定的依照其规定 | 金融等行业另有出境规定的叠加适用 |
| 违法后果 | 按数据安全法第四十六条顶格一千万，并可停业吊照 | 出境前评估是唯一安全路径 |
三、跨境架构怎么合规化
常见三类整改：一是本地化改造，把境内用户数据的主存储与处理节点落回境内，境外只保留脱敏后的统计结果；二是权限收敛，境外总部的远程访问权限按最小必要原则重设，涉及境内原始数据的访问纳入出境管控；三是链路梳理，CDN、邮件、协同办公、监控探针这些「看不见的跨境通道」逐一排查——监测数据回传境外节点同样构成出境。整改方案落地后，把「确需出境」的白名单固化成制度，新增需求走申报，不让业务部门自行其是。
五、常见问题快答
问：关基运营者处理的一般业务数据也要境内存储吗？ 第三十九条的存储义务指向「个人信息和重要数据」两类；一般业务数据不在强制存储范围内，但出境时要过整体合规评估——先分类，再判断哪些数据受存储义务约束，不要把「关基数据全部不能出镜」的误解当真，也不要拿这个误解当放松管理的借口。
问：境外灾备中心算出境吗？ 算。备份到境外节点是典型的数据出境，即便只是「备而不用」。合规做法：境内灾备为主，确需境外灾备的，将纳入的数据范围申报出境安全评估，或改用加密分段存储等技术方案并通过评估确认。
问：通过境外 SaaS 工具处理境内用户数据，算出境吗？ 算。境外 SaaS 的服务端在境外，数据上传即出境；即使工具商承诺「数据存在境内节点」，也要核实数据流、元数据、日志的实际路径。把关基运营中收集产生的个人信息和重要数据交给境外 SaaS 处理，原则上应走境内化替代或申报评估。
问：安全评估由企业自己做行不行？ 评估申报按国家网信部门会同有关部门制定的办法进行，有法定程序与受理主体，企业内部的风险评估只是申报材料的一部分，不能替代法定评估程序。自己评完就出境，等于没过闸。
问：已被认定为关基，历史存量数据怎么处理？ 按「先冻结增量、再清理存量」推进：新增数据严格按存储与出境规则执行；存量中已出境的数据对照评估要求补做合规审查，不符合的回迁或删除，接收方资质与协议同步补齐，全程留档。
六、行业叠加时的「双闸」操作
部分行业的关基运营者还要面对行业监管的附加规定——金融、基础电信、卫生健康等领域对数据出境另有专门要求。叠加时的操作原则是「双闸并行、就严执行」：网安法第三十九条与数据安全法第三十一条的通用闸照过，行业规章的专项闸也照过，两边材料可以复用但结论分别取得；行业要求更严的按行业执行，通用要求更严的按通用执行。落地时建议做一张「行业出境合规对照表」：左侧列通用义务（存储、评估、备案），右侧列行业专项要求（口径、范围、报告），中间标数据类型，每条跨境数据流在表上一行对齐。这张表既是内部审批的依据，也是面对两个监管条线检查时最快的答卷。
七、边界与误区
- 误区一：「数据加密传输到境外就不算出境」。出境判断看数据落地的司法辖区，加密只影响风险等级，不改变出境事实。
- 误区二：「评估通过一次，永远有效」。数据类型、规模、出境目的、接收方发生实质变化的，应重新申报；评估结论过期继续出境，同样按违法出境处理。
- 误区三：「我们是中外合资架构，数据天然要出境」。股东身份不改变境内存储义务，合资安排下的境外报表与审计需求，通过脱敏汇总数据满足。
- 连带提醒：未经主管机关批准，不得向外国司法或执法机构提供境内数据（数据安全法第三十六条），跨境诉讼取证调数据走批准程序，与出境评估是两条独立的闸。
八、实操建议
- 画一张数据跨境地图：每类数据的产生地、存储地、访问地、备份地标清楚，先看清家底再谈合规；
- 与境外总部重新划分数据权限：原始数据境内闭环，跨境流动只走白名单加评估通道；
- 行业另有出境规定的（如金融），两套要求并表管理，按更严者执行；
- 每半年复核一次评估结论的有效性与系统变更情况，架构改动先行合规评审。
站内数据出境怎么合规：安全评估、标准合同、认证三条路怎么选、关键信息基础设施运营者，要多扛哪五件事、境外机构处理境内个人信息：跨境提供的三条合规通道对相关义务与路径有专文，可对照使用。
八、技术措施清单：让存储义务看得见
境内存储义务的落地要靠技术配置说话，一份最小清单包括：数据落地区域控制——云资源、数据库实例、对象存储的部署区域锁定境内，配置策略禁止跨区复制；访问来源控制——境外 IP 的管理访问走专线加审批，普通访问直接拒绝；跨境链路管控——CDN 节点、邮件网关、API 出口逐条登记，能触发数据外发的链路全部纳入白名单管理；备份隔离——境内数据的灾备副本不得落境外节点，备份策略定期审计；日志佐证——数据流动日志留存可查，能回答「这条数据去过哪里」的质询。清单的价值在于把法律义务翻译成配置项：检查或评估时，逐项截图与导出记录就是「境内存储」的物证。反过来，架构里埋着说不清的跨境通道，解释成本远高于关掉它们的成本——存储义务这件事上，技术上的干净就是法律上的安全。
最后说清关基运营者在出境这件事上的「三重身份」叠加：作为网络运营者，负网安法第二十三条等保与用户信息保密义务；作为关基运营者，负第三十九条的存储与评估义务；作为重要数据或个人信息的处理者，还叠加数据安全法、个人信息保护法的处理规则。三重身份意味着同一批数据出境动作要过三道检查：技术上有没有越出境内、程序上有没有完成评估授权、实体上有没有违反处理规则。实务建议是给每一条跨境数据流建立「一档三签」：一个出境档案，数据团队、安全团队、法务三个签字——数据团队确认类型与范围，安全团队确认链路与存储，法务确认通道与授权。三签齐了再开闸，任何一签存疑就冻结。身份叠加不是负担叠加，而是从三个视角把同一个动作检查三遍，跨境数据流的事故率会显著低于任何单一视角的管控。
一句话总结：关基数据出境的规则一句话——个人信息和重要数据境内存储是默认，确需出境必须过安全评估；数据安全法第三十一条从旁加锁，罚单一百万起步、一千万封顶，跨境架构先整改再谈业务。
以上内容为一般性法律知识介绍，不构成正式法律意见。关基数据出境方案的评估申报与架构整改，请咨询执业律师后实施。