跨境提供个人信息，是所有数据合规问题里“红线感”最强的一块：数据一旦出境，境内法律的实际约束力骤降，所以立法者把出口环节的门槛设得最高——三条通道选一条，单独同意一项不能少，境外处理者还要在境内“挂个号”。这篇把企业侧的通道选择与个人侧的权利主张分两层讲清。
一、规则层：三条通道与一个前提
- 《中华人民共和国个人信息保护法》第三十八条个人信息处理者因业务等需要，确需向中华人民共和国境外提供个人信息的，应当具备下列条件之一：
- （一）依照本法第四十条的规定通过国家网信部门组织的安全评估；
- （二）按照国家网信部门的规定经专业机构进行个人信息保护认证；
- （三）按照国家网信部门制定的标准合同与境外接收方订立合同，约定双方的权利和义务；
- （四）法律、行政法规或者国家网信部门规定的其他条件。
- 中华人民共和国缔结或者参加的国际条约、协定对向中华人民共和国境外提供个人信息的条件等有规定的，可以按照其规定执行。
- 个人信息处理者应当采取必要措施，保障境外接收方处理个人信息的活动达到本法规定的个人信息保护标准。
通道怎么选，先看两道硬门槛：关键信息基础设施运营者、处理个人信息达到国家网信部门规定数量的处理者，境内存储是原则，出境必须走安全评估（第四十条）。不属于这两类的，按业务形态在认证与标准合同之间选：集团内跨境流转、多法域接收方多用认证；单一境外接收方、批量较小的场景用标准合同，速度更快。无论哪条通道，第三款都是底线——境外接收方的处理水平要达到个保法标准，签订合同只是形式，落地管理才是实质。
二、告知与单独同意：个人那一关
- 《中华人民共和国个人信息保护法》第三十九条个人信息处理者向中华人民共和国境外提供个人信息的，应当向个人告知境外接收方的名称或者姓名、联系方式、处理目的、处理方式、个人信息的种类以及个人向境外接收方行使本法规定权利的方式和程序等事项，并取得个人的单独同意。
注意告知清单比一般处理更细：接收方是谁、联系方式、行权方式与程序都要讲；同意必须是单独同意——混在隐私政策一揽子勾选里的“数据可能传输至境外”条款，不产生单独同意效力。个人拒绝的，处理者只能走第十三条第二至七项的法定情形，或者放弃出境。对个人来说，发现信息“被出境”而从未单独同意的，可直接主张违法处理，要求停止传输并删除。
三、深入层：境外机构“够得着”境内用户的两种情形
第一种：境内处理者把信息传出去（上述通道问题）。第二种：境外机构直接面向境内提供服务、收集境内自然人信息——这不需要“传输”动作，法律直接管：
- 《中华人民共和国个人信息保护法》第三条第二款在中华人民共和国境外处理中华人民共和国境内自然人个人信息的活动，有下列情形之一的，也适用本法：
- （一）以向境内自然人提供产品或者服务为目的；
- （二）分析、评估境内自然人的行为；
- （三）法律、行政法规规定的其他情形。
境外 App、跨境电商、海外课程平台只要以境内用户为目标客群，就落入个保法。配套的落地义务在第五十三条：此类境外处理者应当在境内设立专门机构或者指定代表，负责处理个人信息保护相关事务，并将名称、联系方式报送履行个人信息保护职责的部门；网络数据安全管理条例第二十六条进一步要求向所在地设区的市级网信部门报送。这意味着个人面对境外平台维权时，可以要求其境内机构或代表先行处理，投诉与诉讼有了“够得着”的对象。
四、操作层
企业侧清单：
- 先判主体与量级：是否关键信息基础设施运营者、是否达到规定数量，决定走安全评估还是认证/标准合同；
- 选定通道后完成备案或评估，标准合同要附双方义务条款与接收方所在地法律环境说明；
- 更新告知文本：接收方名称、联系方式、行权程序逐项写全，单独同意单独弹窗；
- 留存出境记录与接收方合规承诺，与年度影响评估、合规审计衔接；
- 境外处理者完成境内机构或代表的设立与报送。
个人侧路径：
识别出境痕迹
阅读隐私政策中的境外接收方条款，核对自己是否给过单独同意，截图留存。
书面主张权利
向处理者要求说明出境信息的种类、接收方与保护措施，撤回同意的要求停止传输并删除。
投诉
无单独同意即出境、拒绝说明接收方情况的，向网信部门投诉。
对境外平台
通过其境内代表机构主张权利；未设代表的本身就是违规点，一并投诉。
索赔
因违法出境造成损害的依第六十九条索赔，过错推定由处理者自证。
五、常见误区
- 误区一：服务器在境外但“数据没传出去”。 个人信息直接被境外主体收集、访问，同样属于境外处理，不存在“传输即才受管”的空间。
- 误区二：标准合同签了就合规。 合同只是通道之一，出境前的告知、单独同意、影响评估一样不能省。
- 误区三：境外平台管不了。 以境内用户为目标即适用个保法，境内代表制度让投诉与诉讼有落点。
- 误区四：给外国司法执法机构提供数据无所谓。 未经主管机关批准，处理者不得向外国司法或执法机构提供境内个人信息，这是第四十一条的独立红线。
六、问答
收束一句：跨境合规的记忆点就三组词——三条通道选一条、单独同意不能省、境外主体境内必须有代表。数据出境的整体监管背景见网络数据安全管理条例实施，企业收集数据有什么新要求；新网络安全法下的出境与罚则衔接见网站被黑、数据泄露，公司要罚多少钱：2026 年新网络安全法的四档罚款；高风险场景的事前评估义务见企业没做数据安全保护，会有什么处罚。
以上内容为一般性法律知识分享，不构成正式法律意见；具体案件请结合证据情况咨询执业律师。